อุปกรณ์อัจฉริยะหลบ Pi-hole ด้วย DoH และวิธีปิดกั้นให้ทำงานเต็มที่

Pi‑hole ถูกติดตั้งบนเซิร์ฟเวอร์ Debian ภายในเครือข่ายบ้านโดยตั้งเป็น DNS หลักของเกตเวย์ Dual‑WAN หลังจากเพิ่มรายการบล็อกที่ได้รับการยอมรับจากชุมชนแล้ว ผู้ใช้สังเกตว่าโฆษณาและตัวติดตามที่เห็นได้ชัดหายไปทันที อย่างไรก็ตามเมื่อทำการตรวจสอบอุปกรณ์อัจฉริยะหลายชนิด พบว่าบางส่วนยังคงสื่อสารกับเซิร์ฟเวอร์ภายนอกได้โดยไม่ได้ถูกกรอง ซึ่งทำให้ความเชื่อว่าการตั้งค่า Pi‑hole เป็น “ตั้งค่าแล้วลืม” ไม่เป็นความจริงเต็มที่

Overview

Pi‑hole ทำงานเป็น DNS sinkhole ที่บล็อกคำขอ DNS ไปยังโดเมนที่อยู่ในรายการบล็อกโดยอัตโนมัติ การตั้งค่าแบบดั้งเดิมมักอ้างว่าเพียงแค่เปลี่ยน DNS ของเราเตอร์ให้ชี้ไปที่ Pi‑hole แล้วระบบจะกรองโฆษณาและตัวติดตามทั้งหมดได้อย่างครบถ้วน รายงานจาก XDA‑Developers ระบุว่า หลังจากติดตั้ง Pi‑hole และเพิ่มบล็อกลิสต์จากแหล่งที่เชื่อถือได้ จำนวน “พัน” คำขอที่ถูกบล็อกปรากฏบนแดชบอร์ดอย่างต่อเนื่อง

อย่างไรก็ตาม การตรวจสอบต่อเนื่องโดยใช้เครื่องมือเฝ้าติดตามเครือข่าย (เช่น Wireshark) พบว่าอุปกรณ์บางรุ่น เช่น สมาร์ททีวี, ลำโพงอัจฉริยะ, และกล้องวงจรปิด ยังคงสามารถส่ง DNS query ไปยังเซิร์ฟเวอร์ของผู้ผลิตโดยตรงได้ ซึ่งบ่งบอกว่ามีช่องทางที่ทำให้ข้อมูล “หลบ” Pi‑hole

Bypass Mechanisms

หนึ่งในวิธีหลักที่อุปกรณ์ใช้เพื่อหลบ Pi‑hole คือ DNS over HTTPS (DoH) หรือ DNS over TLS (DoT) ซึ่งทำให้การสืบค้น DNS ถูกเข้ารหัสและส่งผ่านช่อง HTTPS ทำให้ Pi‑hole ไม่สามารถดักจับหรือบล็อกได้โดยตรง บางอุปกรณ์ยังตั้งค่า DNS ไว้เป็นค่าคงที่ (hard‑coded) ไปยังเซิร์ฟเวอร์ของผู้ผลิตโดยไม่พิจารณาการตั้งค่า DNS ของเครือข่าย

นอกจากนี้ การใช้ **Multicast DNS (mDNS) ภายในเครือข่ายท้องถิ่นก็เป็นอีกช่องทางหนึ่งที่อุปกรณ์อาจสื่อสารโดยไม่ต้องอาศัย DNS server ภายนอก ทำให้ Pi‑hole ไม่สามารถบล็อกการสื่อสารเหล่านั้นได้

สุดท้าย บางรุ่นของอุปกรณ์อัจฉริยะมีการอัปเดตเฟิร์มแวร์ที่เพิ่มฟีเจอร์ “fallback DNS” ซึ่งเมื่อ DNS server ที่กำหนดไม่ตอบสนอง ระบบจะสลับไปใช้ DNS ของผู้ผลิตโดยอัตโนมัติ ซึ่งทำให้การบล็อกโดย Pi‑hole กลายเป็นเพียงชั่วคราว

Detection & Analysis

ผู้เขียนบทความใช้ Wireshark ตรวจจับแพ็กเกจ DNS ที่หลบ Pi‑hole โดยกรองเฉพาะแพ็กเกจที่มีพอร์ต 53 หรือ 443 (สำหรับ DoH) ผลการวิเคราะห์แสดงให้เห็นว่ามีโดเมนหลายรายการที่ไม่ได้อยู่ในบล็อกลิสต์มาตรฐานของ Pi‑hole เช่น `*.amazonaws.com`, `*.googlevideo.com`, และ `*.smartdevicecloud.com`

จากข้อมูลที่เก็บรวบรวม ผู้เขียนจัดทำ รายการบล็อกแบบกำหนดเอง ที่ประกอบด้วยโดเมนที่พบว่าเป็นจุดเชื่อมต่อของอุปกรณ์อัจฉริยะหลายรุ่น การเพิ่มรายการเหล่านี้ลงใน Pi‑hole ทำให้จำนวนคำขอที่ถูกบล็อกเพิ่มขึ้นอย่างมีนัยสำคัญ

เพื่อยืนยันผลการบล็อก ผู้เขียนยังทำการ ping และ nslookup จากเครื่องลูกข่ายหลายเครื่อง ตรวจสอบว่าคำขอ DNS ทั้งหมดถูกส่งไปยัง Pi‑hole อย่างเดียวและไม่มีการตอบสนองจากโดเมนที่อยู่ในรายการบล็อก

Mitigation Strategies

การแก้ไขปัญหาเพื่อให้ Pi‑hole สามารถควบคุมอุปกรณ์อัจฉริยะได้ครบถ้วนมีหลายวิธีที่บทความเสนอไว้ ได้แก่

• ปิดการใช้งาน DoH/DoT บนอุปกรณ์ที่รองรับ โดยเข้าไปที่การตั้งค่าเครือข่ายของอุปกรณ์และเลือก “ใช้ DNS ปกติ” แทน
• ตั้งกฎไฟร์วอลล์บนเราเตอร์ เพื่อบล็อกพอร์ต 443 ของโดเมนที่ใช้ DoH เช่น `dns.google` หรือ `cloudflare-dns.com`
• ใช้ Pi‑hole ร่วมกับ DNS‑Crypt หรือ Unbound เพื่อให้การสืบค้น DNS ภายในเครือข่ายมีความปลอดภัยและตรวจจับได้ง่ายขึ้น
• เพิ่มรายการบล็อกแบบกำหนดเอง ที่ครอบคลุมโดเมนของผู้ผลิตอุปกรณ์อัจฉริยะที่พบว่ามีการเชื่อมต่อโดยตรง

• ตัวอย่างขั้นตอนการตั้งค่าไฟร์วอลล์บนเกตเวย์ Dual‑WAN
• สร้าง rule ที่บล็อกทุก outbound traffic ไปยังพอร์ต 443 ของโดเมนที่ระบุในรายการบล็อก
• กำหนดให้ rule นี้ทำงานก่อน rule ที่อนุญาต traffic ปกติ
• ตรวจสอบ log ของเราเตอร์เพื่อยืนยันว่า traffic ถูกบล็อกตามที่ตั้งค่า

การผสานวิธีเหล่านี้ทำให้เครือข่ายบ้านสามารถควบคุมการสื่อสารของอุปกรณ์อัจฉริยะได้อย่างครอบคลุม แม้ในกรณีที่อุปกรณ์พยายามสลับไปใช้ DNS ของผู้ผลิตโดยอัตโนมัติ

Implications for Home Networks

ผลของการพบว่ามีอุปกรณ์หลายชนิด “หลบ” Pi‑hole แสดงให้เห็นว่าการพึ่งพา DNS‑level filtering เพียงอย่างเดียวอาจไม่เพียงพอในการปกป้องความเป็นส่วนตัวและลดโฆษณาในบ้าน การจัดการเครือข่ายต้องรวมแนวทางหลายระดับ ทั้งระดับ DNS, ระดับไฟร์วอลล์, และการตรวจสอบพฤติกรรมของอุปกรณ์เป็นประจำ

สำหรับผู้ใช้ที่ต้องการความปลอดภัยระดับสูง การตรวจสอบว่าผลิตภัณฑ์ใดรองรับการปิด DoH/DoT ก่อนซื้อเป็นขั้นตอนที่สำคัญ นอกจากนี้ การอัปเดต Pi‑hole อย่างสม่ำเสมอและเพิ่มรายการบล็อกที่มาจากชุมชนผู้ใช้ก็ช่วยลดความเสี่ยงของการหลบบล็อกในอนาคต

สุดท้าย บทความย้ำว่าแม้ Pi‑hole จะเป็นเครื่องมือที่มีประสิทธิภาพ แต่การใช้งานอย่าง “set‑and‑forget” ไม่ได้หมายความว่าเครือข่ายจะปลอดภัยโดยอัตโนมัติ การตรวจสอบและปรับแต่งอย่างต่อเนื่องยังคงเป็นสิ่งจำเป็น

Summary

Pi‑hole สามารถบล็อกโฆษณาและตัวติดตามได้อย่างมีประสิทธิภาพ แต่บางอุปกรณ์อัจฉริยะใช้เทคนิคเช่น DoH หรือ DNS คงที่เพื่อหลบการกรอง การตรวจจับและบล็อกด้วยไฟร์วอลล์หรือการปิด DoH บนอุปกรณ์เป็นวิธีที่ทำให้การป้องกันสมบูรณ์ยิ่งขึ้น.