L2TP/IPsec คืออะไร? ยังควรใช้หรือไม่

เมื่อเปิดหน้าตั้งค่า VPN ของโน้ตบุ๊ก โทรศัพท์ หรือเราเตอร์รุ่นเก่า คุณมักเจอคำว่า "L2TP/IPsec" อยู่ในรายการ ชื่อดูจริงจัง มักถูกอธิบายว่าปลอดภัย และใช้ได้โดยไม่ต้องติดตั้งอะไรเพิ่ม แล้วทุกวันนี้ยังเป็นตัวเลือกที่สมเหตุสมผลไหม คำตอบตรงไปตรงมาคือ มันเป็นเทคโนโลยีที่เข้าใจได้และมีข้อจำกัดจริง และสำหรับการตั้งค่าใหม่ส่วนใหญ่ยังมีตัวเลือกที่ดีกว่า

บทความนี้อธิบาย L2TP/IPsec เป็นหัวข้อเฉพาะ ชื่อสองคำย่อมาจากอะไร การเชื่อมต่อถูกสร้างทีละขั้นอย่างไร พอร์ตและกุญแจเกี่ยวข้องอย่างไร มักพังตรงไหน และควรใช้ต่อหรือไม่ หากต้องการความรู้พื้นฐานเรื่องโปรโตคอลก่อน เริ่มอ่านที่ โปรโตคอล VPN คืออะไร

สองเทคโนโลยีที่เอามาต่อกัน

ชื่อบอกเรื่องราวไว้แล้ว มีสองชั้น แต่ละชั้นทำหน้าที่ต่างกัน

• L2TP ย่อจาก Layer 2 Tunneling Protocol สร้างอุโมงค์ที่พาทราฟฟิกเครือข่ายจากปลายหนึ่งไปอีกปลายหนึ่ง ออกแบบในช่วงปลายทศวรรษ 1990 โดยผสมแนวคิดจากวิธีสร้างอุโมงค์รุ่นก่อนสองแบบ ตัวมันเอง ไม่มีการเข้ารหัสและไม่ได้พิสูจน์ตัวตนของอุโมงค์อย่างจริงจัง ทำหน้าที่เพียงห่อข้อมูล
• IPsec คือชุดมาตรฐานสำหรับยืนยันตัวตนและเข้ารหัสแพ็กเก็ต IP ทำงานด้านความปลอดภัยที่ L2TP ไม่ได้ทำ สถาปัตยกรรมอธิบายไว้ใน RFC 4301 และคู่มือภาพรวมเชิงปฏิบัติสำหรับผู้ดูแลระบบคือเอกสาร IPsec VPN ของ NIST

เมื่อคนพูดว่า "L2TP VPN" เกือบทุกครั้งหมายถึงคู่นี้ คือ L2TP ที่วิ่งอยู่ในช่องทางที่ IPsec ปกป้อง ถ้าใช้ L2TP เดี่ยวๆ ทราฟฟิกจะวิ่งในรูปที่ใครก็อ่านได้ระหว่างทาง ดังนั้นการเชื่อมต่อที่เขียนแค่ "L2TP" โดยไม่มี IPsec ควรถูกมองด้วยความสงสัย

ลองนึกถึงรถตู้นิรภัย (IPsec) ที่บรรทุกรถส่งพัสดุ (L2TP) อีกคัน รถตู้ให้ความลับ รถส่งพัสดุให้เส้นทางส่งของอย่างเป็นระบบ เพราะต้องบรรจุรถไว้ในรถ จึงมีภาระเพิ่มมากกว่าการออกแบบแบบเดียวที่สร้างมาเพื่องานนี้โดยเฉพาะ

การเชื่อมต่อถูกสร้างทีละขั้นอย่างไร

เมื่อเข้าใจลำดับเหตุการณ์ การแก้ปัญหาจะง่ายขึ้นมาก

1. เจรจา IKE ไคลเอนต์กับเซิร์ฟเวอร์ตั้งชั้น IPsec ก่อนด้วย IKE (Internet Key Exchange) ใช้ UDP พอร์ต 500 ตกลงรหัสลับที่จะใช้ และพิสูจน์ตัวตนด้วย Pre-shared Key หรือใบรับรอง
2. NAT Traversal หากไคลเอนต์อยู่หลังเราเตอร์ที่ทำ NAT ทราฟฟิกจะเปลี่ยนไปใช้ UDP พอร์ต 4500 โดยห่อแพ็กเก็ต IPsec ให้ผ่านการแปลงที่อยู่ได้
3. ช่อง IPsec พร้อม สร้างกุญแจ และช่องทางที่เข้ารหัส (ใช้ ESP หรือ Encapsulating Security Payload) พร้อมใช้งาน
4. อุโมงค์ L2TP ภายในช่องทางนั้น L2TP ใช้ UDP พอร์ต 1701 สร้างอุโมงค์ระหว่างไคลเอนต์กับเซิร์ฟเวอร์
5. ล็อกอิน PPP ในอุโมงค์ L2TP เซสชัน PPP เริ่มขึ้น และผู้ใช้ถูกถามชื่อผู้ใช้กับรหัสผ่าน หรือข้อมูลยืนยันอื่น
6. รับที่อยู่ IP และเส้นทาง เซิร์ฟเวอร์ให้ที่อยู่และเส้นทางแก่ไคลเอนต์ แล้วทราฟฟิกจึงเริ่มไหล

สังเกตว่ามีการยืนยันตัวตนสองครั้งแยกกัน IPsec พิสูจน์ตัวอุปกรณ์ต่อกันก่อนด้วยกุญแจหรือใบรับรอง จากนั้น PPP พิสูจน์ตัวบุคคลด้วยชื่อผู้ใช้กับรหัสผ่าน การแยกแบบนี้มีประโยชน์ในเครือข่ายบริษัท ที่กุญแจร่วมหนึ่งดอกระบุองค์กร และบัญชีรายคนระบุพนักงาน

วิธียืนยันตัวตน Pre-shared Key หรือใบรับรอง

ชั้น IPsec ต้องมีวิธีเริ่มไว้ใจอีกฝั่ง ซึ่งมีสองทางหลัก

Pre-shared Key (PSK)

สตริงลับตัวเดียวที่กรอกทั้งฝั่งไคลเอนต์และเซิร์ฟเวอร์ ตั้งง่ายและเร็ว จึงเป็นที่ชื่นชอบของเราเตอร์ตามบ้านและคู่มือออฟฟิศเล็ก จุดอ่อนอยู่ที่มนุษย์ ไม่ใช่คณิตศาสตร์

• ทุกคนใช้กุญแจเดียวกัน รั่วครั้งเดียวกระทบทุกคน
• หลายระบบใช้ค่าสั้นหรือเดาง่าย หรือคงค่าตัวอย่างจากคู่มือไว้
• หากผู้โจมตีรู้กุญแจ อาจตั้งเซิร์ฟเวอร์ปลอมที่ไคลเอนต์ยอมรับ แล้วหลอกถามรหัสผ่านผู้ใช้ได้

ถ้าต้องใช้ PSK ให้ตั้งให้ยาวและสุ่ม เก็บในโปรแกรมจัดการรหัสผ่าน แจกเฉพาะคนที่จำเป็น และเปลี่ยนใหม่เมื่อมีคนออก

ใบรับรอง

เมื่อใช้ใบรับรอง เซิร์ฟเวอร์ (และไคลเอนต์แต่ละเครื่องหากต้องการ) พิสูจน์ตัวด้วยไฟล์ที่มีลายเซ็นแทนรหัสลับร่วม แข็งแรงกว่าและขยายได้ดีกว่า แต่ต้องมีคนสร้าง แจกจ่าย และต่ออายุ ส่วนเรื่องที่ว่าทำไมฝั่งรหัสลับจึงสำคัญ อ่านได้ในบทความ การเข้ารหัสของ VPN และข้อกำหนด IKEv2 (RFC 7296) แสดงวิธีที่ IPsec ยุคใหม่เจรจายืนยันตัวทั้งสองฝั่ง

ข้อดีของ L2TP/IPsec

ต้องยุติธรรมกับมันด้วย คู่นี้ได้รับความนิยมมาด้วยเหตุผล

• มีในระบบอยู่แล้ว ระบบปฏิบัติการและเราเตอร์จำนวนมากเชื่อมต่อได้โดยไม่ต้องลงซอฟต์แวร์เพิ่ม สะดวกในออฟฟิศที่มีผู้ดูแล และในกรณีฉุกเฉิน
• รากฐานความปลอดภัยที่ผ่านการใช้งานมานาน IPsec ถูกศึกษามาหลายสิบปี และเมื่อตั้งค่าแบบสมัยใหม่ก็ยังเป็นองค์ประกอบที่ได้รับความเคารพ
• ผู้ดูแลระบบคุ้นเคย วิศวกรเครือข่ายจำนวนมากรู้วิธีรัน บันทึก และแก้ปัญหา
• เชื่อมกับบัญชี PPP ได้ ในบางสภาพแวดล้อมต่อเข้ากับฐานข้อมูลผู้ใช้เดิมได้เลย

ข้อดีเหล่านี้อธิบายว่าทำไมมันยังอยู่ในเมนูมากมาย แต่ส่วนใหญ่เป็นข้อดีด้านความสะดวกและความเข้ากันได้ ไม่ใช่ข้อดีด้านการออกแบบ

จุดที่ L2TP/IPsec ติดปัญหา

ห่อสองชั้นทำให้ช้าลง

ทุกแพ็กเก็ตถูกห่อสองครั้ง ครั้งแรกโดย L2TP แล้วโดย IPsec ส่วนหัวที่เพิ่มมากินพื้นที่ขนาดแพ็กเก็ตสูงสุด หากไม่ปรับค่า แพ็กเก็ตใหญ่จะถูกแตกเป็นชิ้น ทำให้การเชื่อมต่อช้าลงหรือบางเว็บค้าง แนวคิดเรื่อง Path MTU คือขนาดแพ็กเก็ตสูงสุดที่ผ่านเส้นทางได้โดยไม่ถูกแบ่ง เป็นเหตุผลที่บางครั้งหน้าเว็บโหลดมาแค่ครึ่งเดียว

พอร์ตตายตัวที่จดจำได้ง่าย

UDP 500, 4500 และ 1701 เป็นที่รู้จักกันดี เครือข่ายที่จำกัดทราฟฟิก เช่น โรงแรม สนามบิน โรงเรียน หรือผู้ให้บริการมือถือบางราย มักบล็อกหรือจัดการไม่ดี ทำให้เกิดอาการหมดเวลา ซึ่งดูเหมือนเซิร์ฟเวอร์พัง แต่จริงๆ เป็นนโยบายของเครือข่าย

ปัญหา NAT และไฟร์วอลล์

IPsec ถูกออกแบบก่อนที่เราเตอร์แปลงที่อยู่จะมีทั่วไป NAT Traversal แก้ได้หลายอย่างแต่ไม่ทั้งหมด เซิร์ฟเวอร์ที่อยู่หลัง NAT ของตัวเอง หรือไคลเอนต์ที่อยู่หลัง NAT สองชั้น อาจล้มเหลวแบบงงๆ บน Windows มักแสดงเป็นรหัสข้อผิดพลาด ซึ่งเราอธิบายไว้ในคู่มือ ข้อผิดพลาด VPN บน Windows ที่พบบ่อย

ความซับซ้อนของการตั้งค่า

มีหลายจุดที่เลือกค่าเก่าหรือไม่ตรงกันได้ ทั้งอัลกอริทึมเข้ารหัส ความยาวกุญแจ อายุกุญแจ กลุ่ม Diffie-Hellman และตัวเลือก PPP เพียงสองฝั่งไม่ตรงกันจุดเดียวก็พังแล้ว โดยข้อความแจ้งข้อผิดพลาดแทบไม่บอกว่าจุดไหน

ค่าเริ่มต้นที่เก่า

หลายอุปกรณ์ยังมาพร้อมค่าเริ่มต้นที่เลือกไว้เมื่อสิบกว่าปีก่อน ตัวเลือกอัลกอริทึมที่อ่อนอาจถูกเปิดค้างไว้เพื่อความเข้ากันได้ นี่เป็นความเสี่ยงด้านการตั้งค่า ไม่ใช่ข้อบกพร่องในตัว IPsec แต่พบบ่อยมาก

แก้ปัญหาเมื่อ L2TP/IPsec เชื่อมต่อไม่ติด

ไล่จากสาเหตุง่ายที่สุดไปยากที่สุด ขั้นตอนเหล่านี้สมมติว่าคุณมีข้อมูลล็อกอินและที่อยู่เซิร์ฟเวอร์ที่ถูกต้องจากผู้ดูแลแล้ว

1. ตรวจพื้นฐาน ยืนยันว่าอินเทอร์เน็ตใช้ได้ ชื่อเซิร์ฟเวอร์พิมพ์ตรงทุกตัวอักษร และชื่อผู้ใช้กับรหัสผ่านถูกต้อง
2. ตรวจนาฬิกา ถ้าใช้ใบรับรอง วันที่ผิดทำให้ใบรับรองใช้ไม่ได้
3. ลองเครือข่ายอื่น ลองอินเทอร์เน็ตมือถือหรือ Wi-Fi อื่น ถ้าใช้ได้ที่อื่น แปลว่าเครือข่ายแรกบล็อกพอร์ตอยู่
4. ตรวจ PSK ผิดตัวเดียวก็ดูเหมือนล้มเหลวทั่วไป ให้พิมพ์ใหม่แทนการวางจากเอกสารที่อาจเติมช่องว่างมาให้
5. ดู NAT หากเซิร์ฟเวอร์อยู่หลังเราเตอร์ ตรวจว่าส่งต่อหรืออนุญาต UDP 500 และ 4500 และฟีเจอร์ IPsec Passthrough ไม่ได้รบกวน
6. อ่านรหัสข้อผิดพลาด บน Windows ข้อผิดพลาด 809 มักหมายถึงแพ็กเก็ตแรกๆ ผ่านไปไม่ถึง ซึ่งมักเกี่ยวกับ NAT หรือไฟร์วอลล์ ข้อผิดพลาด 789 ชี้ไปที่ความไม่ตรงกันของชั้นความปลอดภัย ส่วน 691 มักเป็นชื่อผู้ใช้หรือรหัสผ่านถูกปฏิเสธ คู่มือที่ลิงก์ไว้ข้างต้นรวมวิธีแก้ที่ใช้บ่อยของแต่ละอาการ
7. เทียบค่าสองฝั่ง ดูความต่างของข้อเสนอการเข้ารหัสและการยืนยันตัวตน แล้วลดตัวเลือกเหลือชุดเดียวที่รู้ว่าใช้ได้
8. ลองโปรโตคอลอื่น หากเซิร์ฟเวอร์รองรับ IKEv2, WireGuard หรือ OpenVPN ด้วย การเปลี่ยนมักทำให้ปัญหาหายไปเลย

หากแอป VPN ทั่วไปไม่ยอมเชื่อมต่อและคุณไม่แน่ใจสาเหตุ คู่มือ VPN เชื่อมต่อไม่ได้ มีเช็กลิสต์ที่กว้างกว่านี้ และให้คงวิธีเชื่อมต่อเริ่มต้นของแอปไว้ เว้นแต่ฝ่ายสนับสนุนแนะนำเป็นอย่างอื่น

ควรใช้ต่อหรือไม่ คู่มือตัดสินใจเชิงปฏิบัติ

คำตอบขึ้นกับสถานการณ์ของคุณ ตารางนี้ช่วยคิดกรณีที่พบบ่อย

สถานการณ์	แนวทางที่แนะนำ
เริ่มตั้งระบบส่วนตัวหรือธุรกิจเล็กใหม่	เลือกตัวเลือกสมัยใหม่ เช่น WireGuard, OpenVPN หรือ IKEv2/IPsec
เราเตอร์หรือ NAS เก่าที่มีแค่ L2TP/IPsec	ใช้ต่อด้วยกุญแจที่ยาวเป็นความลับและรหัสผ่านที่แข็งแรง ระหว่างวางแผนอัปเกรด
ระบบออฟฟิศที่ใช้ใบรับรองอยู่แล้ว	ใช้ต่อ ทบทวนรหัสลับ และกำหนดเวลาย้าย
นักเดินทางที่ใช้เครือข่ายเข้มงวด	เตรียมใจว่าจะมีปัญหา โปรโตคอลอื่นมักรับมือได้ดีกว่า
อุปกรณ์ที่ไม่มีไคลเอนต์ของโปรโตคอลใหม่	ใช้ตัวเลือกในเครื่อง แต่จำกัดสิ่งที่ส่งผ่านมัน

การเปรียบเทียบกับดีไซน์ใหม่อ่านได้ใน WireGuard กับ OpenVPN โดยสรุป WireGuard และ OpenVPN คิดตามง่ายกว่าและผูกกับพอร์ตตายตัวน้อยกว่า ส่วน IKEv2 คงรากฐาน IPsec ที่พิสูจน์แล้วไว้ แต่เจรจาแบบทันสมัยกว่าและรับมือกับการเปลี่ยนเครือข่ายได้ดีกว่า

ถ้าจำเป็นต้องใช้ต่อ เช็กลิสต์เสริมความแข็งแรง

หากอุปกรณ์รุ่นเก่าไม่เหลือทางเลือก ให้ลดความเสี่ยงด้วยขั้นตอนเหล่านี้

1. ใช้ใบรับรองหากแพลตฟอร์มรองรับ ถ้าไม่ได้ ใช้ PSK ที่สุ่มอย่างน้อย 20 ตัวอักษร
2. ปิดตัวเลือกเข้ารหัสและแฮชที่อ่อน ให้เหลือเฉพาะของสมัยใหม่
3. ให้ผู้ใช้แต่ละคนมีบัญชี PPP ของตัวเอง ห้ามใช้ล็อกอินร่วม และตั้งรหัสผ่านยาวไม่ซ้ำ
4. อัปเดตเฟิร์มแวร์เราเตอร์และเซิร์ฟเวอร์ให้ทันสมัยเสมอ และเปลี่ยนอุปกรณ์ที่ไม่มีอัปเดตแล้ว
5. จำกัดว่าใครเข้าถึงพอร์ต VPN ได้ ตามที่ไฟร์วอลล์ของคุณรองรับ
6. บันทึกการเชื่อมต่อที่เซิร์ฟเวอร์ และตรวจดูครั้งที่ล้มเหลวเป็นระยะ
7. กำหนดวันทบทวนเพื่อตัดสินใจว่าจะย้ายหรือไม่
8. จดบันทึกค่าตั้ง เพื่อให้คนถัดไปไม่ต้องเดา

ความเข้าใจผิดที่พบบ่อย

"L2TP แปลว่าเข้ารหัส" ไม่ใช่ L2TP เดี่ยวๆ ไม่เข้ารหัส การป้องกันมาจาก IPsec

"มีในเครื่องแปลว่าดีที่สุด" มีในเครื่องแปลว่าสะดวก ว่าโปรโตคอลเหมาะหรือไม่ขึ้นกับความปลอดภัย ความเร็ว และความเข้ากันได้ในสถานการณ์ของคุณ

"PSK ก็แค่รหัสผ่าน ไม่สำคัญ" สำคัญมาก เพราะทุกคนใช้ร่วมกัน และอาจเปิดทางให้ปลอมเป็นเซิร์ฟเวอร์ได้

"เชื่อมต่อได้แปลว่าปลอดภัย" การเชื่อมต่อที่ใช้งานได้ยังอาจใช้อัลกอริทึมอ่อน ความสำเร็จของการเชื่อมต่อไม่ได้บอกอะไรเกี่ยวกับความแข็งแรงของรหัสลับ

"แย่เท่า PPTP" ไม่ใช่ ชั้น IPsec เมื่อตั้งค่าดีก็ยังเป็นที่เคารพ ข้อกังวลคือความเก่า ความซับซ้อน และพอร์ตตายตัว ไม่ใช่แกนที่พังแล้ว

สรุป

L2TP/IPsec ประกอบด้วยชั้นสร้างอุโมงค์กับชั้นเข้ารหัส IKE บน UDP 500, NAT Traversal บน UDP 4500 และ L2TP บน UDP 1701 สร้างการเชื่อมต่อทีละขั้น โดยมี Pre-shared Key หรือใบรับรองพิสูจน์อุปกรณ์ และการล็อกอิน PPP พิสูจน์ตัวบุคคล มีให้ใช้ในระบบอยู่แล้วมากมายและวางอยู่บน IPsec ที่เก่าแก่และผ่านการใช้งานมานาน แต่การห่อสองชั้น พอร์ตตายตัว ความอ่อนไหวต่อ NAT และการตั้งผิดง่าย ทำให้มันเป็นตัวเลือกยุคเก่า สำหรับระบบใหม่ โปรโตคอลปัจจุบันมักดีกว่า ส่วนระบบเดิมให้เสริมความแข็งแรงและวางแผนย้าย

หากอยากใช้แอปสำเร็จรูปมากกว่าจะมาปรับค่าโปรโตคอลเอง เปรียบเทียบแพ็กเกจได้ที่หน้าราคา