# DNS over HTTPS (DoH) และ DNS over TLS (DoT) คืออะไร? คู่มือ Encrypted DNS สำหรับ SME ไทย 2026
DNS เป็นโครงสร้างพื้นฐานเก่าแก่ที่สุดอย่างหนึ่งของอินเทอร์เน็ต และเป็นช่องโหว่ที่ผู้โจมตีใช้ได้ผลที่สุดเช่นกัน ในปี 2026 องค์กรขนาดกลาง/เล็กในไทยยังเจอภัยคุกคาม DNS Spoofing, DNS Hijacking, Man-in-the-Middle บน Wi-Fi สาธารณะ และการสอดแนมจาก ISP หรือผู้ให้บริการเครือข่ายอื่นๆ เพราะคำค้นหา DNS แบบดั้งเดิม (UDP Port 53) ถูกส่งเป็น Plaintext ทำให้ใครก็ตามที่อยู่บนเส้นทางเดียวกันสามารถอ่าน แก้ไข หรือบันทึกข้อมูลได้
DNS over HTTPS (DoH) และ DNS over TLS (DoT) คือสองมาตรฐานที่เกิดมาเพื่อแก้ปัญหานี้ โดยการเข้ารหัส DNS Query ระหว่าง Client กับ Resolver ด้วย TLS 1.3 ทำให้ผู้โจมตีไม่สามารถอ่านหรือดัดแปลงได้ บทความนี้จะอธิบายความแตกต่างของสองโปรโตคอล ผลกระทบต่อ Performance, Compliance ของธุรกิจไทย (PDPA) และวิธีนำไปใช้ทั้งบน Client Device, Router และ DNS Forwarder ภายในองค์กร
1. DNS แบบดั้งเดิมและความเสี่ยงที่ SME ไทยต้องรู้
PDPA (พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล) ไม่ได้บังคับใช้ DoH/DoT โดยตรง แต่การเข้ารหัส DNS ช่วยให้องค์กรบรรลุ "Appropriate Security Measures" ได้ง่ายกว่า
2. ความแตกต่างระหว่าง DoH vs DoT
| มิติ | DoH (DNS over HTTPS) | DoT (DNS over TLS) |
|------|---------------------|--------------------|
| Port | 443 | 853 |
| Protocol | HTTPS (HTTP/2, HTTP/3) | TLS ตรง ๆ บน TCP |
| ซ่อนใน Traffic ปกติ | ซ่อนในการจราจร HTTPS ทั่วไป | แยก Port ชัดเจน ถูกบล็อกง่าย |
| Debugging | ซับซ้อน เพราะรวมกับ Traffic Web | ง่ายกว่า ใช้ Tools DNS ปกติ |
| ใช้งาน Enterprise | เหมาะกับ Browser และ Client | เหมาะกับ Router/Resolver |
| Performance | เพิ่ม Latency ~3-10ms | เพิ่ม Latency ~2-7ms |
สรุปง่าย ๆ DoH เหมาะกับ End-user ที่ต้องการ Privacy สูงสุด ส่วน DoT เหมาะกับองค์กรที่ต้อง Monitor Traffic ได้ง่าย
3. ผู้ให้บริการ Public Resolver ที่น่าใช้ในปี 2026
4. How-to: เปิดใช้งาน DoH/DoT แบบ Step-by-step
5. ตารางเปรียบเทียบ 3 สถาปัตยกรรมสำหรับ SME
| โครงสร้าง | เหมาะกับ | ต้นทุนเริ่ม | ความยากในการ Maintain |
|-----------|---------|-------------|----------------------|
| Per-device DoH | ทีมงานทำงานจากที่ต่าง ๆ | ฟรี | ต่ำ |
| Router-level DoT | สำนักงานขนาดกลาง | 2,000–10,000 บาท | ปานกลาง |
| On-prem Resolver (Pi-hole/AdGuard Home) | SME 20–200 คน | 5,000–20,000 บาท | สูงที่สุด แต่ควบคุมได้เต็มที่ |
6. ข้อควรระวังและทางเลือก
7. Roadmap การ Deploy ภายใน 4 สัปดาห์
| สัปดาห์ | กิจกรรม |
|--------|--------|
| 1 | Audit DNS Queries ปัจจุบัน + เลือก Provider |
| 2 | Pilot Test บน 5–10 เครื่อง + วัด Latency |
| 3 | Deploy Router/Resolver + สร้าง Filtering Policy |
| 4 | Training, เขียน Policy, ตั้ง Logging Dashboard |
สรุป + Call to Action
Encrypted DNS ด้วย DoH/DoT ไม่ใช่แค่เทรนด์ แต่คือ Baseline Security ของปี 2026 ที่ช่วย SME ไทยป้องกัน MITM, DNS Hijacking และสอดคล้องกับ PDPA เริ่มจาก Cloudflare 1.1.1.1 หรือ NextDNS ที่ระดับ Router ภายใน 1 เดือนก่อนขยายไปสู่ Pi-hole หรือ AdGuard Home สำหรับการควบคุมเต็มรูปแบบ
หากต้องการปรึกษาการวาง DNS Infrastructure, Zero Trust Network, หรือ Audit ช่องโหว่ Network ให้พร้อม PDPA ทีมงาน ADS FIT ยินดีช่วยออกแบบให้เหมาะกับขนาดองค์กรของคุณ อ่านบทความที่เกี่ยวข้องเพิ่มเติมในหมวด Network & Security บนเว็บไซต์ของเรา