เปลี่ยนจาก Pi‑hole ไปใช้ Unbound หนึ่งสัปดาห์ เพิ่มความเป…

ผู้เขียนได้เปลี่ยนตัวรับ DNS สาธารณะจาก Quad9 ไปใช้ Unbound ที่โฮสต์บนเครื่องของตนเองเป็นเวลาหนึ่งสัปดาห์ หลังจากที่ระบบเดิมที่ประกอบด้วย Pi‑hole, dnscrypt‑proxy และ Quad9 ทำงานได้โดยไม่มีปัญหา ความตั้งใจหลักคือการเพิ่มระดับความเป็นส่วนตัวของข้อมูล DNS และเพื่อให้เข้าใจการทำงานของระบบ DNS ของเครือข่ายบ้านได้ชัดเจนยิ่งขึ้น

Overview

ระบบ DNS ของผู้เขียนตั้งแต่ต้นประกอบด้วย Pi‑hole ที่ทำหน้าที่บล็อกโฆษณา, dnscrypt‑proxy ที่เข้ารหัสการสื่อสาร DNS, และ Quad9 เป็นตัวแก้ไขคำขอ DNS สาธารณะทุกคำขอที่อุปกรณ์ในเครือข่ายส่งออกไป การตั้งค่านี้ทำงานได้อย่างราบรื่นเป็นเวลานานโดยผู้ใช้ไม่ได้ให้ความสนใจเป็นพิเศษต่อการทำงานของแต่ละชั้น

อย่างไรก็ตามเมื่อผู้เขียนเริ่มไตร่ตรองว่าข้อมูล DNS ทั้งหมดถูกส่งต่อให้กับผู้ให้บริการภายนอกอย่าง Quad9 แม้จะผ่านการเข้ารหัสแล้วก็ตาม ความกังวลเรื่องความเป็นส่วนตัวก็เริ่มก่อตัวขึ้น จึงทำให้ตัดสินใจทดลองเปลี่ยนไปใช้ Unbound ที่ติดตั้งและรันบนเครื่องของตนเอง

การทดลองนี้ไม่ได้มุ่งเพียงเพื่อทดสอบความเร็วหรือความเสถียรของ DNS เท่านั้น แต่ยังเป็นการตรวจสอบว่าการย้ายตัวรับ DNS ไปไว้ภายในเครือข่ายจะส่งผลต่อการบล็อกโฆษณา การตรวจสอบความปลอดภัยของ DNSSEC และการมองเห็นการทำงานของระบบโดยรวมอย่างไร

Existing DNS Stack

Pi‑hole ทำหน้าที่เป็น DNS sinkhole ที่คัดกรองโดเมนที่เป็นที่รู้จักว่ามีโฆษณาหรือมัลแวร์โดยตอบกลับด้วยค่า “0.0.0.0” หรือ “NXDOMAIN” ทำให้อุปกรณ์ในเครือข่ายไม่สามารถโหลดทรัพยากรที่ไม่ต้องการได้

dnscrypt‑proxy ทำการเข้ารหัสคำขอ DNS ด้วยโปรโตคอล DNSCrypt หรือ DoH (DNS over HTTPS) ก่อนส่งต่อไปยังตัวรับ DNS ภายนอก ซึ่งช่วยป้องกันการดักจับหรือดัดแปลงข้อมูลระหว่างเครื่องผู้ใช้กับตัวรับ

Quad9 เป็นตัวรับ DNS สาธารณะที่ให้บริการโดยมีการบล็อกโดเมนที่เป็นอันตรายและมีการสนับสนุน DNSSEC เพื่อยืนยันความถูกต้องของข้อมูล DNS ที่ตอบกลับ

การทำงานร่วมกันของสามส่วนนี้ทำให้เครือข่ายได้รับการบล็อกโฆษณา, การเข้ารหัสการสื่อสาร, และการคุ้มครองจากโดเมนอันตรายโดยไม่มีการเปิดเผยข้อมูล DNS ต่อผู้ให้บริการอินเทอร์เน็ต (ISP) อย่างตรงไปตรงมา

Reason for Switching

แม้ว่า dnscrypt‑proxy จะเข้ารหัสการสื่อสารระหว่างอุปกรณ์และ Quad9 แล้ว แต่ข้อมูล DNS ทั้งหมดยังคงถูกส่งไปยังโครงสร้างพื้นฐานของบุคคลที่สามทุกครั้ง การส่งข้อมูลเหล่านี้แม้ในรูปแบบที่เข้ารหัสก็ยังทำให้ผู้ให้บริการนั้นมี “มุมมอง” ไปยังพฤติกรรมการเรียก DNS ของผู้ใช้ทั้งหมด

ผู้เขียนจึงตั้งคำถามว่า “ถ้าเรามีการกรองและการเข้ารหัสแล้ว ทำไมต้องให้บุคคลที่สามเห็นทุกคำขอ?” คำตอบที่ได้คือการลดระดับความเสี่ยงจากการเก็บข้อมูลโดยบุคคลที่สามและการทำให้ระบบ DNS มีความเป็นอิสระมากขึ้นโดยไม่ต้องพึ่งพาเซิร์ฟเวอร์สาธารณะ

ด้วยเหตุนี้จึงตัดสินใจติดตั้ง Unbound บนเครื่องเซิร์ฟเวอร์ส่วนบุคคล ซึ่งเป็นรีซอลเวอร์แบบ recursive ที่ทำงานแบบอิสระ ไม่ต้องพึ่งพาเซิร์ฟเวอร์ภายนอกใด ๆ

Week with Unbound

การเปลี่ยนแปลงหลักคือการเอา Quad9 ออกจากเส้นทางและให้ Unbound ทำหน้าที่ตอบคำขอ DNS ทั้งหมดโดยตรงจาก cache หรือทำการค้นหาแบบ recursive ไปยัง root server และ TLD server ที่เกี่ยวข้อง

ในระหว่างสัปดาห์ที่ทดลอง ผู้เขียนสังเกตว่า:

• Unbound สามารถทำงานร่วมกับ Pi‑hole ได้โดยไม่มีการขัดแย้ง เนื่องจาก Pi‑hole ยังคงทำหน้าที่เป็น upstream resolver ให้ Unbound ใช้สำหรับการบล็อกโฆษณา
• การตอบสนองของ DNS ดูเหมือนจะเร็วขึ้นเล็กน้อยในบางกรณี เนื่องจาก cache ของ Unbound ถูกเก็บไว้ภายในเครือข่ายและไม่ต้องรอการตอบกลับจากเซิร์ฟเวอร์สาธารณะทุกครั้ง
• ความเป็นส่วนตัวเพิ่มขึ้นอย่างชัดเจน เนื่องจากคำขอ DNS ทั้งหมดถูกประมวลผลภายในเครื่องของผู้ใช้ ไม่ต้องส่งต่อไปยังโครงสร้างพื้นฐานของบุคคลที่สาม

ผู้เขียนยังกล่าวว่าการใช้ Unbound ทำให้เข้าใจขั้นตอนของ DNS recursion มากขึ้น เนื่องจากต้องตั้งค่าและตรวจสอบ log ของระบบเอง ซึ่งช่วยให้เห็นภาพรวมของการทำงานของ DNS ตั้งแต่การค้นหา root server ไปจนถึงการตอบสนองของ authoritative server

Findings & Benefits

จากผลการทดลองหนึ่งสัปดาห์ ผู้เขียนสรุปข้อดีหลายประการของการใช้ Unbound ร่วมกับ Pi‑hole และ dnscrypt‑proxy ดังต่อไปนี้

• เพิ่มระดับความเป็นส่วนตัว: คำขอ DNS ไม่ถูกส่งต่อให้กับผู้ให้บริการสาธารณะใด ๆ ทำให้ไม่มีจุดที่ข้อมูลอาจถูกบันทึกหรือวิเคราะห์โดยบุคคลที่สาม
• ควบคุมและตรวจสอบได้ง่าย: การตั้งค่าและ log ของ Unbound สามารถตรวจสอบได้โดยตรงบนเครื่องของผู้ใช้ ทำให้สามารถวิเคราะห์ปัญหา DNS หรือพฤติกรรมที่ผิดปกติได้เร็วขึ้น
• ประสิทธิภาพที่ดีขึ้น: การเก็บ cache ภายในเครือข่ายทำให้หลายคำขอที่ซ้ำกันได้รับการตอบสนองจาก cache โดยตรง ลดเวลาแฝงและลดปริมาณการติดต่อกับอินเทอร์เน็ตภายนอก
• ความเข้ากันได้กับระบบบล็อกโฆษณา: Pi‑hole ยังคงทำหน้าที่บล็อกโดเมนที่ไม่ต้องการได้โดยไม่มีการเปลี่ยนแปลงที่ซับซ้อน

อย่างไรก็ตามผู้เขียนก็ชี้ให้เห็นว่าการตั้งค่า Unbound ต้องใช้ความเข้าใจพื้นฐานด้าน DNS มากกว่าการใช้ตัวรับสาธารณะ และต้องดูแลการอัปเดตซอฟต์แวร์และการปรับแต่งการตั้งค่าเป็นระยะ ๆ

Impact

บทเรียนจากการทดลองนี้อาจเป็นแนวทางให้ผู้ใช้ทั่วไปและผู้ดูแลระบบบ้านพิจารณาการย้ายจากตัวรับ DNS สาธารณะไปใช้ resolver ที่โฮสต์ภายในเครือข่ายเพื่อเพิ่มความเป็นส่วนตัวและควบคุมได้ดียิ่งขึ้น

ในระดับกว้าง การย้ายไปใช้ Unbound หรือซอฟต์แวร์ recursive resolver แบบเปิดเผยอาจกระตุ้นให้ผู้ให้บริการ DNS สาธารณะพิจารณาเพิ่มมาตรการความเป็นส่วนตัว เช่น การไม่บันทึกข้อมูลหรือการให้ผู้ใช้เลือกโหมด “no‑logging” อย่างชัดเจน

สำหรับชุมชนเทคโนโลยีในประเทศไทย การทดลองเช่นนี้ช่วยสร้างความตระหนักเกี่ยวกับความสำคัญของ DNS ในโครงสร้างพื้นฐานของอินเทอร์เน็ตและเปิดโอกาสให้ผู้ใช้ได้ลองปรับแต่งระบบของตนเองตามความต้องการส่วนบุคคล

Summary

การเปลี่ยนจาก Quad9 ไปใช้ Unbound ภายในเครือข่ายทำให้ผู้ใช้ได้รับความเป็นส่วนตัวที่สูงขึ้นและเข้าใจการทำงานของ DNS อย่างลึกซึ้งขึ้น ทั้งยังพบว่าการบล็อกโฆษณาผ่าน Pi‑hole ยังคงทำงานได้อย่างมีประสิทธิภาพ การทดลองนี้แสดงให้เห็นว่าการโฮสต์ resolver ของตนเองเป็นทางเลือกที่สมเหตุสมผลสำหรับผู้ที่ใส่ใจเรื่องความปลอดภัยและการควบคุมข้อมูล DNS ของตนเอง.