IKEv2/IPsec คืออะไร? เหมาะกับใคร

โพรโทคอล VPN บางตัวเป็นสิ่งประดิษฐ์ชิ้นเดียวที่มีชื่อเดียว แต่ IKEv2/IPsec ต่างออกไป เครื่องหมายทับบอกว่ามันคือมาตรฐานสองตัวที่ใช้เป็นคู่ ตัวหนึ่งทำหน้าที่เจรจาและยืนยันตัวตน อีกตัวทำหน้าที่เข้ารหัส มันถูกฝังอยู่ในระบบปฏิบัติการหลายระบบ ใช้กันกว้างในเครือข่ายของบริษัทและบนโทรศัพท์ และยังปรากฏในรายการโพรโทคอลของหลายแอป

คู่มือนี้อธิบายว่าแต่ละครึ่งทำอะไร เกิดอะไรขึ้นตอนเริ่มเชื่อมต่อ ทำไม IKEv2 จึงมีชื่อว่ารับมือได้ดีเมื่อโทรศัพท์เปลี่ยนเครือข่าย มันต้องการอะไรจากเครือข่ายรอบตัว และเหมาะกับใคร เนื้อหาอธิบายโพรโทคอลในภาพรวม ไม่ได้บอกว่าบริการใดรองรับโพรโทคอลอะไร หากอยากเห็นภาพกว้าง ดู โพรโทคอล VPN คืออะไร

ชื่อสองชื่อ หน้าที่สองอย่าง

วิธีเข้าใจ IKEv2/IPsec ที่ง่ายที่สุดคือนึกถึงคนสองคนในไซต์ก่อสร้าง คนหนึ่งเป็นผู้เจรจาที่ตรวจบัตรประจำตัว ตกลงแผน และแจกกุญแจ อีกคนเป็นคนงานที่ขนวัสดุจริงในกล่องที่ล็อกไว้ ไม่มีใครทำงานแทนอีกคนได้

IPsec ส่วนที่ปกป้องแพ็กเก็ต

IPsec คือชุดมาตรฐานสำหรับปกป้องทราฟฟิกที่ระดับแพ็กเก็ต IP อธิบายไว้ในเอกสารสถาปัตยกรรม RFC 4301 มันทำสองอย่างกับแพ็กเก็ตได้ คือยืนยันความถูกต้องเพื่อให้ตรวจพบการแก้ไข และเข้ารหัสเพื่อซ่อนเนื้อหา ในทางปฏิบัติ VPN ใช้ส่วนหนึ่งของ IPsec ที่เรียกว่า ESP ซึ่งทำทั้งสองอย่างพร้อมกัน

IPsec มีสองโหมด

• Tunnel mode ห่อแพ็กเก็ตเดิมทั้งหมดไว้ในแพ็กเก็ตใหม่ที่มีส่วนหัวด้านนอกใหม่ เป็นโหมดที่ใช้กับ VPN เพราะปลายทางจริงถูกซ่อนไว้ข้างใน
• Transport mode ปกป้องเฉพาะเนื้อหาในแพ็กเก็ตและปล่อยส่วนหัวเดิมให้มองเห็น ใช้ระหว่างโฮสต์สองเครื่องที่คุยกันโดยตรง ไม่ใช่ VPN ทั่วไปที่ส่งต่อทุกอย่างไปยังเกตเวย์

IPsec เองไม่รู้ว่าอีกฝั่งคือใครหรือควรใช้กุญแจอะไร ต้องมีตัวอื่นมาจัดการเรื่องนี้

IKEv2 ส่วนที่ตั้งค่าให้ทุกอย่าง

Internet Key Exchange เวอร์ชัน 2 ซึ่งอธิบายไว้ใน RFC 7296 คือตัวนั้น มันทำสี่งาน ได้แก่ยืนยันตัวตนทั้งสองฝั่งต่อกัน ตกลงอัลกอริทึมที่จะใช้ สร้างกุญแจใหม่ และต่ออายุกุญแจในภายหลัง ผลของการเจรจาคือข้อตกลงสองชุดที่เรียกว่า security association ชุดหนึ่งครอบคลุมบทสนทนา IKE เอง อีกชุดครอบคลุมทราฟฟิกข้อมูลที่ปกป้อง ซึ่ง IPsec จะนำไปใช้

เวอร์ชันสองมาแทนที่ IKE รุ่นแรกด้วยดีไซน์ที่เรียบง่ายและเชื่อถือได้กว่า ถ้าคุณอ่านเจอ "IKEv1" นั่นคือรุ่นเก่าที่พบส่วนใหญ่ในอุปกรณ์รุ่นเดิม

เกิดอะไรขึ้นเมื่อกดเชื่อมต่อ

ในภาพรวม การเริ่มต้นคือการแลกเปลี่ยนข้อความสั้น ๆ รายละเอียดต่างกันตามการตั้งค่า แต่รูปแบบเหมือนกัน

1. ทักทายและตกลงกุญแจ สองฝั่งแลกเปลี่ยนรายการอัลกอริทึมที่รองรับ และทำการตกลงกุญแจ เพื่อให้มีความลับร่วมที่ผู้สังเกตการณ์คำนวณไม่ได้ หลังจากนี้ทุกอย่างในบทสนทนาถูกเข้ารหัส
2. พิสูจน์ตัวตน แต่ละฝั่งพิสูจน์ว่าตนคือใคร โดยทั่วไปเซิร์ฟเวอร์แสดงใบรับรอง ไคลเอนต์พิสูจน์ตัวเองด้วยใบรับรอง หรือชื่อผู้ใช้กับรหัสผ่านภายในการแลกเปลี่ยนที่ได้รับการปกป้อง หรือความลับที่ใช้ร่วมกันล่วงหน้า
3. สร้างช่องทางที่ได้รับการปกป้อง เมื่อยอมรับตัวตนแล้ว สองฝั่งสร้าง security association ที่จะส่งทราฟฟิกจริงของคุณ และตกลงกุญแจกับที่อยู่ที่จะใช้ ไคลเอนต์มักได้รับที่อยู่ภายในสำหรับใช้ในอุโมงค์
4. ทราฟฟิกไหล แพ็กเก็ตของคุณถูกห่อด้วย ESP และส่งไปยังเซิร์ฟเวอร์ ซึ่งแกะออกและส่งต่อ คำตอบกลับมาทางเดียวกัน
5. ต่ออายุ ผ่านไปสักพัก สองฝั่งเจรจากุญแจใหม่อย่างเงียบ ๆ เพื่อไม่ให้กุญแจเดียวต้องปกป้องข้อมูลปริมาณมากเกินไป ทำเบื้องหลังโดยไม่ตัดการเชื่อมต่อ

ทั้งหมดมักเสร็จเร็ว และหนึ่งในจุดแข็งที่ IKEv2 ขึ้นชื่อคือมันสร้างตัวเองขึ้นใหม่ได้อย่างมีประสิทธิภาพหลังการหยุดชั่วคราว

ทำไมมือถือชอบ เมื่อต้องย้ายเครือข่าย

คุณสมบัติที่ทำให้ IKEv2 มีชื่อเสียงบนอุปกรณ์เคลื่อนที่คือส่วนขยายชื่อ MOBIKE ที่อยู่ของโทรศัพท์เปลี่ยนทุกครั้งที่ย้ายจาก Wi-Fi บ้านไปข้อมูลมือถือ หรือระหว่างเสาสัญญาณ สำหรับอุโมงค์จำนวนมาก นั่นแปลว่าการเชื่อมต่อขาดและต้องสร้างใหม่ ด้วย MOBIKE ไคลเอนต์บอกเซิร์ฟเวอร์ได้ผ่านช่องที่ปกป้องอยู่แล้วว่า "ที่อยู่ของฉันเปลี่ยนแล้ว" และอุโมงค์ทำงานต่อโดยไม่ต้องเริ่มใหม่ทั้งหมด

สถานการณ์ตัวอย่าง

ณัฐฐาโดยสารรถไฟไปทำงาน ฟังพอดแคสต์และเช็กข้อความผ่าน VPN บนโทรศัพท์ ที่สถานีเธอออกจากรัศมี Wi-Fi ของชานชาลา โทรศัพท์ตกไปใช้ข้อมูลมือถือ และบนรถไฟมันสลับระหว่างเสาสัญญาณอยู่ตลอด โพรโทคอลที่ถือว่าทุกการเปลี่ยนที่อยู่เป็นการเชื่อมต่อใหม่อาจสะดุดทุกครั้ง แต่กับ IKEv2 และ MOBIKE อุโมงค์สังเกตเห็นการเปลี่ยนแปลง อัปเดตที่อยู่ แล้วไปต่อ เธออาจสังเกตเห็นการหยุดสั้น ๆ มากกว่าการเชื่อมต่อใหม่ทั้งหมด

นี่ไม่ได้แปลว่าสมบูรณ์แบบ หากโทรศัพท์สูญเสียสัญญาณไปทั้งหมดเป็นเวลานาน อุโมงค์จะหมดเวลา และถ้าเครือข่ายใหม่บล็อกโพรโทคอล ก็ไม่มีอะไรช่วยได้ แต่ดีไซน์พยายามทำให้กรณีทั่วไปของการสลับเครือข่ายไม่เจ็บปวด และนั่นคือเหตุผลที่คนพูดถึงมันเมื่อเอ่ยถึงโทรศัพท์และอุปกรณ์ที่หลับแล้วตื่น

สองฝั่งพิสูจน์ตัวตนอย่างไร

การยืนยันตัวตนคือส่วนที่มีผลต่อความปลอดภัยของการตั้งค่า IKEv2/IPsec มากที่สุด

วิธี	ทำงานอย่างไร	ความแข็งแรง	จุดอ่อนทั่วไป
ใบรับรองทั้งสองฝั่ง	ทั้งสองฝั่งถือใบรับรองที่ลงนามโดยผู้ออกที่เชื่อถือ	แข็งแรงและเดายาก	ตั้งค่ามากกว่า ต้องต่ออายุใบรับรอง
ใบรับรองเซิร์ฟเวอร์ บวกชื่อผู้ใช้และรหัสผ่าน (EAP)	เซิร์ฟเวอร์พิสูจน์ตัวด้วยใบรับรอง ผู้ใช้พิสูจน์ตัวด้วยข้อมูลล็อกอินภายในการแลกเปลี่ยนที่ปกป้อง	สะดวกและพบบ่อยใน VPN ทั้งผู้ใช้ทั่วไปและบริษัท	แข็งแรงเท่ารหัสผ่านกับปัจจัยที่สองที่ใช้
กุญแจที่ใช้ร่วมกันล่วงหน้า	ทั้งสองฝั่งรู้สตริงลับเดียวกัน	ตั้งค่าง่าย	ถ้าความลับเดียวกันถูกแชร์ให้หลายคนหรือสั้น จะเป็นตัวเลือกที่อ่อนที่สุด

ใบรับรองเซิร์ฟเวอร์สำคัญเพราะมันทำให้อุปกรณ์ของคุณมั่นใจได้ว่ากำลังคุยกับเซิร์ฟเวอร์จริง ไม่ใช่ของปลอม ถ้าไคลเอนต์ถูกตั้งให้ข้ามการตรวจนั้น คนบนเครือข่ายอาจแกล้งเป็นเซิร์ฟเวอร์ได้ คู่มือ IPsec VPN ของ NIST พูดถึงทางเลือกเหล่านี้ละเอียดกว่านี้ และเป็นแหล่งที่น่าเชื่อถือหากคุณต้องการมุมมองเชิงทางการ

สำหรับผู้ใช้ทั่วไป คำแนะนำเชิงปฏิบัติเรียบง่าย อัปเดตอุปกรณ์ ปกป้องบัญชีด้วยรหัสผ่านที่เข้มแข็งและไม่ซ้ำ และหลีกเลี่ยงการตั้งค่าที่แจกความลับร่วมเดียวให้คนจำนวนมาก

พอร์ต NAT และที่ที่มันถูกฝังอยู่ในระบบ

IKEv2/IPsec ทิ้งรอยเท้าไว้บนเครือข่ายที่คุณควรรู้ เพราะอธิบายความล้มเหลวหลายแบบ

• พอร์ต UDP 500 ใช้ส่งการเจรจา IKE เริ่มแรก
• พอร์ต UDP 4500 ใช้เมื่ออุปกรณ์อยู่หลัง NAT ซึ่งเป็นกรณีของการเชื่อมต่อที่บ้านและมือถือเกือบทั้งหมด แพ็กเก็ต ESP ถูกห่อไว้ใน UDP เพื่อไม่ให้เราเตอร์ที่เขียนที่อยู่ใหม่ทำให้เสียหาย
• ESP เอง เป็นหมายเลขโพรโทคอลแยกต่างหาก ไม่ใช่พอร์ต UDP หรือ TCP เครือข่ายและเราเตอร์ตามบ้านบางตัวจัดการมันได้ไม่ดี

เพราะสิ่งเหล่านี้คงที่และรู้จักกันดี เครือข่ายที่ต้องการจำกัดทราฟฟิก VPN จึงมองเห็นและบล็อกได้ง่าย โรงแรม โรงเรียน และออฟฟิศบางแห่งทำเช่นนี้โดยตั้งใจ บทความนี้ไม่ได้สอนวิธีเลี่ยงข้อจำกัดที่ใครตั้งใจวางไว้ หากเครือข่ายบล็อก IKEv2 ทางเลือกที่ตรงไปตรงมาคือถามผู้ดูแล หรือสลับไปใช้การเชื่อมต่ออื่น

การรองรับที่มีมาในระบบ

ระบบปฏิบัติการหลายระบบมีไคลเอนต์ IKEv2 อยู่ในการตั้งค่า VPN Windows มีให้ในตัวเลือกการเชื่อมต่อ VPN ที่มาพร้อมระบบ ดังที่คู่มือการเชื่อมต่อ VPN ของ Microsoft อธิบาย แพลตฟอร์มของ Apple และ Android รุ่นใหม่ ๆ ก็มีการรองรับในตัวเช่นกัน แม้เมนูและความสามารถต่างกันตามเวอร์ชัน หน้าช่วยเหลือเรื่อง VPN ของ Android เป็นที่ที่เหมาะสำหรับถ้อยคำปัจจุบันบนแพลตฟอร์มนั้น

ข้อดีของการรองรับในตัวคือเชื่อมต่อได้โดยไม่ต้องติดตั้งโปรแกรมเพิ่ม และระบบปฏิบัติการจัดการการเชื่อมต่อใหม่กับการใช้พลังงาน ข้อเสียคือการตั้งค่าแสดงออกมาในรูปแบบที่ไม่ค่อยเป็นมิตร และฟีเจอร์อย่าง kill switch ขึ้นกับระบบปฏิบัติการ ไม่ใช่แอปที่ขัดเกลามาดี บริการ VPN สำหรับผู้ใช้ทั่วไปหลายแห่งจึงใช้แอปของตัวเอง แม้โพรโทคอลเบื้องหลังจะเป็น IKEv2/IPsec ก็ตาม หากแอปของคุณมีการตั้งค่าโพรโทคอล ให้ใช้ค่าเริ่มต้นเว้นแต่ฝ่ายสนับสนุนแนะนำ

เหมาะกับใคร และไม่เหมาะกับใคร

สถานการณ์	IKEv2/IPsec เหมาะไหม	เหตุผล
โทรศัพท์ที่ย้ายระหว่าง Wi-Fi กับข้อมูลมือถือ	มักเหมาะ	MOBIKE รักษาอุโมงค์ไว้ข้ามการเปลี่ยนที่อยู่
โน้ตบุ๊กบริษัทที่เชื่อมต่อเกตเวย์ขององค์กร	มักเหมาะ	เป็นมาตรฐาน ฝังในระบบปฏิบัติการ อุปกรณ์เครือข่ายรองรับกว้าง
คนที่ต้องการติดตั้งง่ายโดยไม่ลงซอฟต์แวร์	อาจเหมาะ	มีไคลเอนต์ในตัว แต่รายละเอียดการตั้งค่าต่างกัน
เครือข่ายโรงแรม โรงเรียน หรือออฟฟิศที่กรองทราฟฟิก VPN	มักไม่เหมาะ	พอร์ตตายตัวและ ESP กรองง่าย
เราเตอร์หรืออุปกรณ์เก่าที่ไม่รองรับ IKEv2	ไม่เหมาะ	สิ่งที่มีให้ใช้เป็นตัวตัดสิน
คนที่อยากได้โค้ดเล็กที่สุดไว้ตรวจสอบ	ไม่ใช่ตัวเลือกแรก	IPsec เป็นตระกูลมาตรฐานใหญ่ที่มีตัวเลือกมาก

เมื่อเทียบกับดีไซน์ใหม่ ๆ IKEv2/IPsec ใหญ่กว่าและมีส่วนเสริมมากกว่า นี่คือข้อแลกเปลี่ยนมากกว่าข้อบกพร่อง ความกว้างคือเหตุผลที่มันทำงานกับอุปกรณ์องค์กรจากหลายผู้ผลิต หากอยากเทียบกับโพรโทคอลสมัยใหม่แบบเรียบง่าย ดู WireGuard กับ OpenVPN เทียบกันอย่างไร และสำหรับความต่างระหว่าง VPN ธุรกิจกับส่วนตัว ดู VPN ธุรกิจกับ VPN ส่วนตัว

แก้ปัญหาเมื่อ IKEv2/IPsec เชื่อมต่อไม่ได้

ถ้าการเชื่อมต่อไม่เริ่ม ให้ไล่จากด้านนอกเข้าด้านใน และเปลี่ยนทีละอย่าง

1. ตรวจการเข้าถึงอินเทอร์เน็ตปกติ โหลดหน้าเว็บโดยไม่ใช้ VPN ถ้าไม่ได้ ปัญหาไม่ได้อยู่ที่อุโมงค์
2. ตรวจวันและเวลา ใบรับรองใช้ได้เฉพาะในช่วงเวลาที่ถูกต้อง นาฬิกาที่ผิดมากทำให้การยืนยันตัวตนล้มเหลวแบบที่ดูลึกลับ
3. ตรวจข้อมูลล็อกอิน พิมพ์ชื่อผู้ใช้หรือรหัสผ่านผิดคือสาเหตุที่พบบ่อยที่สุด คัดลอกจากหน้าบัญชีแทนการพิมพ์ใหม่
4. ลองเครือข่ายอื่น ถ้าใช้ได้บนข้อมูลมือถือแต่ไม่ได้บน Wi-Fi หนึ่ง เครือข่ายนั้นอาจกรองพอร์ตที่อธิบายไว้ข้างต้น ถามเจ้าของ หรือใช้การเชื่อมต่ออื่น
5. มองหา NAT ซ้อนหรือเราเตอร์ที่เข้มงวดมาก เราเตอร์ตามบ้านบางตัวจัดการ ESP ไม่ดี การรีสตาร์ต อัปเดตเฟิร์มแวร์ หรือเปิดตัวเลือก VPN pass-through อาจช่วย
6. อ่านรหัสข้อผิดพลาด บน Windows ข้อผิดพลาดที่ระบุว่าข้อมูลยืนยันตัวตน IKE ไม่เป็นที่ยอมรับ มักชี้ไปที่ใบรับรองหรือการล็อกอิน ไม่ใช่เครือข่าย คู่มือ ข้อผิดพลาด VPN บน Windows ที่พบบ่อย ครอบคลุมรหัสที่พบบ่อย
7. ปิด VPN หรือซอฟต์แวร์ความปลอดภัยตัวอื่น ไคลเอนต์ VPN สองตัวหรือไฟร์วอลล์ที่เข้มงวดอาจแย่งอะแดปเตอร์เครือข่ายเดียวกัน
8. รีสตาร์ตอุปกรณ์และอัปเดตแอปหรือระบบปฏิบัติการ เคลียร์อะแดปเตอร์ที่ค้างและรับการแก้ไข
9. ติดต่อฝ่ายสนับสนุนพร้อมรายละเอียด บอกว่าอุปกรณ์ใด เครือข่ายไหน ข้อความที่ขึ้นแบบเป๊ะ ๆ และสิ่งที่ลองไปแล้ว

ข้อจำกัดและสิ่งที่ควรระวัง

• IKEv2/IPsec ปกป้องเส้นทางระหว่างอุปกรณ์กับเกตเวย์ VPN ไม่ได้ปกป้องคุณจากมัลแวร์ ฟิชชิง หรือรหัสผ่านอ่อน และไม่ได้บอกอะไรเกี่ยวกับสิ่งที่ผู้ให้บริการทำกับทราฟฟิกเมื่อออกจากอุโมงค์แล้ว
• มาตรฐานเหล่านี้เก่า กว้าง และมีตัวเลือกมากมาย การตั้งค่าที่สะเพร่า เช่นกุญแจร่วมสั้น ๆ หรือใบรับรองเซิร์ฟเวอร์ที่ไม่ได้ตรวจ ทำลายประโยชน์ไปได้มาก
• พอร์ตตายตัวทำให้กรองง่าย อย่าคิดว่ามันจะใช้ได้บนทุกเครือข่าย
• การเชื่อมต่อใหม่ที่เร็วกว่าไม่เท่ากับเร็วกว่าโดยรวม ปริมาณงานขึ้นกับอุปกรณ์ เซิร์ฟเวอร์ ระยะทาง และเครือข่ายของคุณ
• บทความนี้เป็นความรู้ทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย และไม่ได้อ้างว่าบริการใดรองรับโพรโทคอลใด หรือใช้ได้ในประเทศใด

สรุป

IKEv2/IPsec คือทีมของมาตรฐานสองตัว IKEv2 ยืนยันตัวตนทั้งสองฝั่ง ตกลงอัลกอริทึม และสร้างกุญแจ จากนั้น ESP ของ IPsec เข้ารหัสและยืนยันความถูกต้องของแต่ละแพ็กเก็ต มันขึ้นชื่อเรื่องรับมือได้ดีเมื่อโทรศัพท์เปลี่ยนเครือข่ายด้วย MOBIKE ฝังอยู่ในระบบปฏิบัติการหลายระบบ และอุปกรณ์เครือข่ายรองรับกว้าง จุดอ่อนหลักคือพอร์ตตายตัวกับรายการตัวเลือกยาว รวมถึงวิธียืนยันตัวตนที่อ่อน เช่นความลับที่แชร์กันกว้าง เมื่อใช้ไม่ได้ ให้ตรวจเครือข่าย นาฬิกา ข้อมูลล็อกอิน และดูว่าเครือข่ายกรองพอร์ตที่มันต้องใช้หรือไม่

หากอยากลองพาสเติมเงินสั้น ๆ เพื่อดูว่า VPN ทำงานอย่างไรบนโทรศัพท์และเครือข่ายของคุณ หน้าราคา อธิบายว่าตัวเลือกทำงานอย่างไร และ หน้าดาวน์โหลด รวมแอปไว้ให้