VPN ทำงานอย่างไร

เมื่อคุณเชื่อมต่อ VPN อุปกรณ์จะสร้างอุโมงค์เข้ารหัสไปยังเซิร์ฟเวอร์ VPN และจากนั้นทราฟฟิกอินเทอร์เน็ตจะเดินทางในอุโมงค์นั้นไปถึงเซิร์ฟเวอร์ก่อนออกสู่อินเทอร์เน็ตกว้าง เว็บไซต์จะเห็นเซิร์ฟเวอร์ ไม่ใช่คุณ ส่วนเครือข่ายที่คุณใช้อยู่จะเห็นการเชื่อมต่อที่เข้ารหัสหนึ่งเส้น ไม่ใช่รายชื่อเว็บไซต์

ประโยคเดียวนี้ซ่อนหลายขั้นตอนไว้ บทความนี้ตามคำขอเว็บหนึ่งครั้งตั้งแต่ต้นจนจบ เพื่อให้เห็นว่าอะไรถูกเข้ารหัส ที่ไหน ใครเห็นอะไร และทำไม VPN จึงเปลี่ยนทั้งตำแหน่งที่ดูเหมือนและความเร็วได้ ถ้าเพิ่งเริ่ม อ่าน VPN คืออะไร ก่อนแล้วค่อยกลับมา

เมื่อไม่มี VPN เส้นทางปกติ

การเปิดเว็บไซต์โดยไม่ใช้ VPN เป็นแบบนี้

1. เบราว์เซอร์ถาม DNS resolver ซึ่งมักดูแลโดยผู้ให้บริการอินเทอร์เน็ต เพื่อแปลงชื่ออย่าง example.com เป็น IP address ดู DNS ทำงานอย่างไร
2. อุปกรณ์ส่งแพ็กเก็ตไปยังที่อยู่นั้นผ่านเราเตอร์และผู้ให้บริการอินเทอร์เน็ต
3. เว็บไซต์ตอบกลับไปยัง public IP ที่ผู้ให้บริการอินเทอร์เน็ตกำหนดให้คุณ

ตามเส้นทางนี้ ผู้ให้บริการอินเทอร์เน็ตและเจ้าของ Wi-Fi เห็นที่อยู่ปลายทางและการค้นหา DNS ถ้าเว็บใช้ HTTPS เขาอ่านเนื้อหาหน้าไม่ได้ แต่ยังเห็นว่าคุณคุยกับเว็บไหน ส่วนเว็บไซต์เห็น public IP ที่ผู้ให้บริการกำหนดให้คุณ

ขั้นที่ 1: แอป VPN สร้างอุโมงค์

เมื่อกดเชื่อมต่อ แอป VPN ติดต่อเซิร์ฟเวอร์ VPN และทั้งสองฝ่ายทำการจับมือ (handshake) ซึ่งประกอบด้วย

• ยืนยันตัวตนซึ่งกันและกัน เซิร์ฟเวอร์ตรวจว่าคุณเป็นผู้ใช้ที่อนุญาต โดยใช้ข้อมูลล็อกอินหรือคีย์ แอปก็ตรวจว่ากำลังคุยกับเซิร์ฟเวอร์ที่คาดไว้จริง
• ตกลงคีย์ ด้วยการเข้ารหัสแบบกุญแจสาธารณะ ทั้งสองคำนวณคีย์ลับร่วมกันโดยไม่ต้องส่งคีย์ผ่านเครือข่าย คีย์เหล่านี้ปกป้องทุกอย่างหลังจากนั้น
• ตกลงการตั้งค่า รวมถึงชุดเข้ารหัสที่ใช้ และ IP ภายในอุโมงค์ที่อุปกรณ์จะใช้

กฎของกระบวนการนี้เรียกว่าโปรโตคอล VPN ตัวอย่างเช่น WireGuard, OpenVPN และ IPsec กับ IKEv2 (สถาปัตยกรรม IPsec อธิบายใน RFC 4301) อ่านเพิ่มที่ โปรโตคอล VPN คืออะไร

ขั้นที่ 2: อุปกรณ์สร้างการเชื่อมต่อเครือข่ายเสมือน

เมื่อจับมือเสร็จ ระบบปฏิบัติการจะได้อะแดปเตอร์เครือข่ายเสมือน มองเป็นการ์ดเครือข่ายตัวที่สองที่เป็นซอฟต์แวร์ล้วน ๆ และนำไปสู่เซิร์ฟเวอร์ VPN แทนเราเตอร์ จากนั้นระบบเปลี่ยนตารางเส้นทาง (routing table) ให้ทราฟฟิกส่วนใหญ่ผ่านอะแดปเตอร์นี้

ด้วยเหตุนี้แอป VPN จึงมักขออนุญาตเพิ่มการตั้งค่า VPN ในมือถือหรือคอมพิวเตอร์ เพราะกำลังเพิ่มอะแดปเตอร์เสมือนและเขียนเส้นทางใหม่ บาง VPN ยังอนุญาตข้อยกเว้นให้บางแอปไม่ผ่านอุโมงค์ ซึ่งเรียกว่า split tunneling

ขั้นที่ 3: แพ็กเก็ตถูกห่อและเข้ารหัส

ยกตัวอย่างคำขอหนึ่งครั้ง เช่นเบราว์เซอร์ดึงหน้าเว็บ เบราว์เซอร์สร้างแพ็กเก็ตที่ส่งถึงเว็บไซต์ จากนั้นอะแดปเตอร์เสมือนทำสิ่งที่เรียกว่า encapsulation

1. แพ็กเก็ตเดิมรวมที่อยู่ปลายทางถูกเข้ารหัส และเพิ่มข้อมูลยืนยันเพื่อตรวจจับการแก้ไข
2. ก้อนที่เข้ารหัสแล้วถูกใส่ในแพ็กเก็ตชั้นนอกใหม่ที่ส่งถึงเซิร์ฟเวอร์ VPN
3. แพ็กเก็ตชั้นนอกออกไปทางการเชื่อมต่อปกติ ไม่ว่าจะเป็น Wi-Fi ข้อมูลมือถือ หรือสาย Ethernet

สำหรับเจ้าของ Wi-Fi และผู้ให้บริการอินเทอร์เน็ต ทราฟฟิกที่มองเห็นคือกระแสแพ็กเก็ตระหว่างอุปกรณ์ของคุณกับที่อยู่ของเซิร์ฟเวอร์ VPN ส่วนปลายทางจริงอยู่ในส่วนที่เข้ารหัส การระบุที่อยู่ชั้นนอกเป็นไปตามกฎปกติของ Internet Protocol (RFC 791)

ขั้นที่ 4: เซิร์ฟเวอร์ VPN แกะและส่งต่อ

เซิร์ฟเวอร์ VPN รับแพ็กเก็ตชั้นนอก ถอดรหัสด้วยคีย์ร่วม และได้คำขอเดิมของคุณกลับมา แล้วส่งคำขอนั้นต่อไปยังเว็บไซต์ โดยใช้ public IP ของเซิร์ฟเวอร์เองเป็นต้นทาง ในมุมของเว็บไซต์ ผู้เข้าชมคือเซิร์ฟเวอร์ VPN ถ้ามีผู้ใช้หลายคนใช้เซิร์ฟเวอร์เดียวกัน คำขอของทุกคนดูเหมือนมาจากที่อยู่เดียวกัน

หาก VPN จัดการ DNS ด้วย ซึ่ง VPN ที่ตั้งค่าดีควรทำ เซิร์ฟเวอร์หรือ resolver ที่เชื่อมกันจะตอบการค้นหาชื่อของคุณ เครือข่ายในพื้นที่จึงไม่เห็น เมื่อสิ่งนี้พลาดและการค้นหาหลุดออกทางการเชื่อมต่อปกติ เรียกว่า DNS leak

ขั้นที่ 5: คำตอบเดินทางกลับ

เว็บไซต์ตอบกลับไปยังที่อยู่ของเซิร์ฟเวอร์ VPN เซิร์ฟเวอร์รับคำตอบ เข้ารหัสด้วยคีย์ของเซสชัน ห่อในแพ็กเก็ตใหม่ที่ส่งถึงที่อยู่ในอุโมงค์ของอุปกรณ์คุณ แล้วส่งผ่านอินเทอร์เน็ตมาหาคุณ แอป VPN ถอดรหัสและส่งคำตอบเดิมให้เบราว์เซอร์แสดงหน้าเว็บ

ขั้นตอนนี้ทำซ้ำกับทุกแพ็กเก็ต หลายครั้งต่อวินาที แต่โปรโตคอลสมัยใหม่เบาพอที่โทรศัพท์รับมือได้สบาย

ใครเห็นอะไร

ฝ่าย	ไม่ใช้ VPN	ใช้ VPN
เจ้าของ Wi-Fi หรือเครือข่ายในพื้นที่	ที่อยู่ปลายทางและการค้นหา DNS รวมถึงเนื้อหาที่ไม่เข้ารหัส	การเชื่อมต่อเข้ารหัสหนึ่งเส้นไปเซิร์ฟเวอร์ VPN และปริมาณข้อมูล
ผู้ให้บริการอินเทอร์เน็ต	เหมือนข้างบน	เหมือนแถวข้างบน คือที่อยู่เซิร์ฟเวอร์ VPN และปริมาณทราฟฟิก
เว็บไซต์	public IP ที่ผู้ให้บริการอินเทอร์เน็ตกำหนด	public IP ของเซิร์ฟเวอร์ VPN
ผู้ให้บริการ VPN	ไม่เห็นอะไร	IP จริงของคุณ ปลายทางที่เชื่อมต่อ และเวลา
เนื้อหาหน้า HTTPS	เห็นเฉพาะเบราว์เซอร์และเว็บไซต์	ยังเห็นเฉพาะเบราว์เซอร์และเว็บไซต์

สองแถวท้ายสำคัญ VPN ไม่ได้ทำให้ผู้สังเกตหายไป แต่ย้ายจุดสังเกตจากเครือข่ายในพื้นที่และผู้ให้บริการอินเทอร์เน็ตไปอยู่ที่ผู้ให้บริการ VPN ดังนั้นคำถามว่าคุณไว้ใจใครจึงเป็นคำถามหลัก

ทำไม VPN ส่งผลต่อความเร็วและตำแหน่งที่ปรากฏ

ความเร็ว ข้อมูลของคุณต้องอ้อมผ่านเซิร์ฟเวอร์ ซึ่งเพิ่มระยะทางและการประมวลผลเล็กน้อยเพื่อเข้ารหัส ถ้าเซิร์ฟเวอร์อยู่ใกล้และไม่หนาแน่น ความต่างอาจน้อย ถ้าไกลหรือแออัด จะสังเกตได้ บางครั้ง VPN ดูเร็วขึ้นเพราะได้เส้นทางที่ดีกว่าค่าเริ่มต้นของผู้ให้บริการ

ตำแหน่งที่ปรากฏ เว็บไซต์คาดเดาตำแหน่งของคุณส่วนหนึ่งจาก IP เมื่อใช้เซิร์ฟเวอร์ VPN เขาเห็นที่อยู่ของเซิร์ฟเวอร์นั้นและมักเดาตำแหน่งใกล้ ๆ กัน แต่สัญญาณอื่นอีกมาก เช่น โปรไฟล์บัญชี ภาษาของอุปกรณ์ และสิทธิ์ GPS ในแอป ยังเปิดเผยที่อยู่จริงของคุณได้

สิ่งที่ควรระวัง

• ตรวจว่าอุโมงค์เปิดอยู่ แอปมักมีตัวบอกว่าเชื่อมต่อแล้ว และบนมือถือจะมีไอคอนรูปกุญแจหรือ VPN หากการเชื่อมต่อหลุดเงียบ ๆ ทราฟฟิกอาจออกไปโดยไม่มีการป้องกัน เว้นแต่มี kill switch คอยบล็อก อ่านเรื่อง VPN kill switch
• ทดสอบการรั่วหลังตั้งค่า การทดสอบสั้น ๆ ยืนยันว่า IP ที่มองเห็นและคำขอ DNS ตรงกับ VPN ไม่ใช่ผู้ให้บริการอินเทอร์เน็ต
• ใช้ HTTPS ควบคู่ ในอุโมงค์ ทราฟฟิกได้รับการปกป้องจนถึงเซิร์ฟเวอร์ จากเซิร์ฟเวอร์ถึงเว็บไซต์ การปกป้องขึ้นกับว่าเว็บใช้ HTTPS หรือไม่
• จำปลายทางไว้ เซิร์ฟเวอร์ VPN เห็นทราฟฟิกในรูปที่ถอดรหัสแล้วระหว่างถอดรหัสกับส่งต่อ โดยมี HTTPS ซ้อนอีกชั้นหากมี

สรุป

VPN ทำงานโดยจับมือกับเซิร์ฟเวอร์ สร้างอะแดปเตอร์เครือข่ายเสมือนบนอุปกรณ์ เข้ารหัสแต่ละแพ็กเก็ตแล้วห่อในแพ็กเก็ตชั้นนอกไปหาเซิร์ฟเวอร์ จากนั้นเซิร์ฟเวอร์ถอดรหัสและส่งต่อด้วย IP ของตัวเอง คำตอบเดินกลับย้อนเส้นทางเดิม ผลคือเครือข่ายในพื้นที่เห็นแค่ลิงก์เข้ารหัส เว็บไซต์เห็นที่อยู่ของเซิร์ฟเวอร์ และผู้ให้บริการ VPN กลายเป็นฝ่ายที่เห็นปลายทางของทราฟฟิกคุณ

หากพร้อมเลือกพาส ดูวิธีที่ XPASS เสนอได้ที่หน้าราคา