เพิ่มโปรไฟล์ VPN ผ่าน NetworkManager อย่างไร

NetworkManager คือส่วนของเดสก์ท็อป Linux ที่ต่อ Wi-Fi จัดการสาย Ethernet และถ้าคุณสั่ง ก็รัน VPN ให้ด้วย การเข้าใจว่ามันมอง VPN อย่างไรมีประโยชน์กว่าการจำชื่อเมนู เพราะเมนูบน GNOME, KDE, Cinnamon และอื่น ๆ ต่างกัน แต่โมเดลข้างใต้เหมือนกันทุกที่ บทความนี้เกี่ยวกับโมเดลนั้นและตัวเลือกเฉพาะที่คุณต้องตัดสินใจตอนเพิ่มโปรไฟล์

บทความนี้ตอบคำถามที่อยู่เบื้องหลัง VPN NetworkManager คือจะเพิ่ม VPN อย่างไรให้ทำงานตามที่คาดบนโน้ตบุ๊กที่ย้ายเครือข่ายตลอด เราไม่ลงรายละเอียดชื่อแพ็กเกจของแต่ละดิสโทร และไม่ทวนขั้นตอนติดตั้งแอป VPNclient ซึ่งอยู่ใน คู่มือตั้งค่าบน Linux เส้นทางโปรไฟล์ในบทความนี้ใช้กับไฟล์ตั้งค่าที่คุณมีอยู่แล้วจากที่ทำงาน มหาวิทยาลัย หรือเซิร์ฟเวอร์ที่คุณดูแลเอง

NetworkManager เก็บอะไรไว้จริง ๆ

VPN ใน NetworkManager คือ โปรไฟล์การเชื่อมต่อ ไฟล์ข้อความเล็ก ๆ ที่มีส่วนการตั้งค่าทั่วไป ตัว VPN เอง IPv4 และ IPv6 มีสี่ส่วนที่ควรรู้

• ปลั๊กอิน NetworkManager ไม่รู้จักโปรโตคอล VPN เอง จึงส่งงานให้ปลั๊กอิน มีปลั๊กอินสำหรับ OpenVPN, IPsec ผ่าน strongSwan, L2TP, OpenConnect เป็นต้น WireGuard เป็นข้อยกเว้นเพราะรองรับในตัว
• โปรไฟล์ ระบุเซิร์ฟเวอร์ วิธีใช้ข้อมูลยืนยันตัวตน เส้นทาง และ DNS การเชื่อมต่อระดับระบบอยู่ใน /etc/NetworkManager/system-connections
• ความลับ รหัสผ่านและคีย์อาจอยู่ในโปรไฟล์ ใน keyring หรือถูกถามทุกครั้ง
• ลิงก์ เมื่อเชื่อมต่อ จะมีอินเทอร์เฟซเสมือน เช่น tun0 หรือ wg0 และเส้นทางกับ DNS จะผูกกับอินเทอร์เฟซนั้น

เรื่องนี้สำคัญเพราะทุกอาการโยงกับส่วนใดส่วนหนึ่ง เมนูที่หายไปคือปัญหาปลั๊กอิน เชื่อมต่อได้แต่ไม่โหลดอะไรคือปัญหาเส้นทางหรือ DNS บนลิงก์ ส่วนหน้าต่างขอรหัสที่โผล่มาซ้ำ ๆ คือปัญหาความลับ

ก่อนเริ่ม ต้องเตรียมอะไร

เตรียมสามอย่างก่อน

1. ไฟล์ตั้งค่าหรือค่าที่ต้องกรอก สำหรับ OpenVPN คือไฟล์ .ovpn มักมีใบรับรอง สำหรับ WireGuard คือไฟล์ .conf สำหรับ IPsec หรือ L2TP คือที่อยู่เซิร์ฟเวอร์ วิธียืนยันตัวตน เช่น pre-shared key หรือใบรับรอง และชื่อผู้ใช้
2. ปลั๊กอินที่ตรงกัน ค้นในตัวจัดการแพ็กเกจหาชื่อที่ขึ้นต้นด้วย NetworkManager- หรือ network-manager- ตามด้วยชนิด
3. วิธีทดสอบ รู้ที่อยู่ภายในสักหนึ่งแห่ง หรือใช้เว็บตรวจ IP เพื่อดูว่าทราฟฟิกผ่านอุโมงค์จริงหรือไม่

ชนิด VPN	ต้องมีปลั๊กอินไหม	ไฟล์ที่พบบ่อย
WireGuard	ไม่ต้อง มีในตัว	.conf
OpenVPN	ต้อง	.ovpn
IPsec (IKEv2)	ต้อง มักใช้ strongSwan	ค่าที่กรอกหรือใบรับรอง
L2TP ผ่าน IPsec	ต้อง	ค่าที่กรอก
OpenConnect	ต้อง	ที่อยู่เกตเวย์

หากอยากทบทวนว่าแต่ละแบบต่างกันอย่างไร โปรโตคอล VPN คืออะไร อธิบายพื้นฐานด้วยภาษาง่าย ๆ หลังติดตั้งปลั๊กอิน ให้ออกจากระบบแล้วเข้าใหม่ หรือรีสตาร์ต NetworkManager เพื่อให้โปรแกรมตั้งค่ารู้จัก

เพิ่มโปรไฟล์ใน GNOME Settings

ขั้นตอนต่างกันตามเวอร์ชัน ชื่อปุ่มที่ใช้ในที่นี้จึงเป็นเพียงโดยประมาณ

1. เปิด Settings แล้วเลือก Network
2. ข้าง VPN กดปุ่มบวก
3. เลือก Import from file แล้วเลือกไฟล์ .ovpn หรือ .conf หากต้องการกรอกเอง ให้เลือกชนิดแทน
4. ตรวจชื่อ เกตเวย์ และวิธียืนยันตัวตน ไฟล์ที่นำเข้ามักเติมช่องส่วนใหญ่ให้แล้ว
5. เปิดแท็บ IPv4 และ IPv6 แล้วทบทวนเส้นทางและ DNS ตามที่อธิบายด้านล่าง
6. กด Add แล้วใช้สวิตช์เพื่อเชื่อมต่อ

KDE Plasma มีขั้นตอนเดียวกันในแอปเพล็ตเครือข่ายและ System Settings ส่วน Connections ปุ่มบวกมีตัวเลือก "Import VPN connection" ส่วนเดสก์ท็อปที่ไม่มีโปรแกรมตั้งค่าใช้ nm-connection-editor ซึ่งเป็นตัวแก้ไขทั่วไปที่แสดงทุกช่อง

เพิ่มโปรไฟล์ด้วย nmcli

บรรทัดคำสั่งเร็วกว่าเมื่อคุ้นแล้ว และใช้ได้ผ่าน SSH หรือบนเซิร์ฟเวอร์

nmcli connection import type openvpn file ~/work.ovpn
nmcli connection import type wireguard file ~/home.conf
nmcli connection show
nmcli connection up work
nmcli connection down work

ชื่อหลัง up คือชื่อโปรไฟล์ซึ่ง nmcli connection show แสดงไว้ หากต้องการแก้ช่องใดช่องหนึ่งให้ใช้ nmcli connection modify ชื่อ ตามด้วยพร็อพเพอร์ตี เช่น nmcli connection modify work connection.autoconnect no หากต้องการอ่านค่าทั้งหมดใช้ nmcli connection show work คู่มือบรรทัดคำสั่ง ลงลึกเรื่องการรันอุโมงค์โดยตรงโดยไม่ผ่าน NetworkManager

ค่าที่กำหนดพฤติกรรมของ VPN

หลังนำเข้า มีห้าค่าที่ทำหน้าที่เกือบทั้งหมด ควรทบทวนก่อนเริ่มพึ่งพาโปรไฟล์

ค่า	อยู่ตรงไหน	ทำอะไร	ตัวเลือกทั่วไป
ใช้เฉพาะทรัพยากรบนเครือข่ายนี้	IPv4 / IPv6 ส่วน Routes (พร็อพเพอร์ตี never-default)	ไม่ให้อุโมงค์เป็นเส้นทางหลัก	เปิดเมื่อเข้าถึงออฟฟิศหรือแล็บ ปิดเมื่อต้องการป้องกันทั้งหมด
เส้นทางเพิ่ม	IPv4 / IPv6 ส่วน Routes	ส่งซับเน็ตที่เลือกผ่านอุโมงค์	เพิ่มเฉพาะช่วงส่วนตัว เช่นใน RFC 1918
เซิร์ฟเวอร์ DNS และ search domain	IPv4 / IPv6 ส่วน DNS	กำหนดว่าใครตอบการค้นหาชื่อ	ใช้ตามที่โปรไฟล์ให้ และเพิ่ม search domain สำหรับชื่อภายใน
ลำดับความสำคัญ DNS	ipv4.dns-priority	ตัวเลขต่ำกว่าชนะ	ใช้ค่าติดลบหากต้องการให้ DNS ของอุโมงค์ตอบก่อน
เชื่อมต่ออัตโนมัติ	ทั่วไป	เปิดอุโมงค์ให้เอง	ไม่บังคับ ดูหัวข้อถัดไป

ตัวอย่างหนึ่ง ปริยา นักศึกษา ต้องใช้เซิร์ฟเวอร์แล็บของมหาวิทยาลัยจากร้านกาแฟ แต่ไม่อยากให้เพลง Stream ผ่านเครือข่ายมหาวิทยาลัย เธอนำเข้าโปรไฟล์ของมหาวิทยาลัย เปิด ใช้เฉพาะทรัพยากรบนเครือข่ายนี้ และตรวจว่าโปรไฟล์เพิ่มเส้นทางไปยังช่วงที่อยู่ส่วนตัวของมหาวิทยาลัย เมื่อเชื่อมต่อ เฉพาะที่อยู่ของแล็บเท่านั้นที่ใช้อุโมงค์ ส่วนการ Stream และท่องเว็บยังใช้การเชื่อมต่อของร้านกาแฟ นั่นคือพฤติกรรมที่อธิบายไว้ใน split tunneling คืออะไร

อีกคน ธีรพงษ์ ทำงานระยะไกลและต้องการปกป้องทุกอย่างบน Wi-Fi สาธารณะ เขาปิดตัวเลือกนั้น อุโมงค์จึงเป็นเส้นทางหลัก เขาตั้งลำดับความสำคัญ DNS เป็นเลขติดลบให้การค้นหาชื่อผ่านอุโมงค์ และอ่านเรื่อง split DNS เพื่อเข้าใจว่าควรคาดอะไรเมื่อชื่อบริษัทแปลงค่าต่างกันระหว่างภายในและภายนอก

เชื่อมต่ออัตโนมัติ ตัวกระตุ้น และเครื่องที่ใช้ร่วมกัน

NetworkManager เชื่อมต่อ VPN ให้ได้โดยคุณไม่ต้องแตะ มีสองระดับ

• ต่อ VPN ในแท็บทั่วไปของโปรไฟล์ VPN "Automatically connect" จะมีผลก็ต่อเมื่อระบบมีเหตุให้เชื่อมต่อ หลายเวอร์ชันจะเชื่อมเมื่อเครือข่ายใดขึ้น
• ต่อ Wi-Fi NetworkManager ผูก "secondary connection" กับโปรไฟล์ Wi-Fi ได้ ด้วย nmcli connection modify "Home Wi-Fi" connection.secondaries work-vpn VPN จะเริ่มทุกครั้งที่ Wi-Fi นั้นเชื่อมและหยุดเมื่อตัดการเชื่อมต่อ นี่คือวิธีที่สะอาดที่สุดในการบอกว่า "เฉพาะเครือข่ายนี้"

คิดถึงคนอื่นที่ใช้เครื่องด้วย โปรไฟล์ที่บันทึกเป็น "ทุกผู้ใช้" ใช้ได้กับทุกบัญชี สำหรับคอมพิวเตอร์ครอบครัวที่ใช้ร่วมกัน คุณอาจเลือกโปรไฟล์ต่อผู้ใช้พร้อมให้ถามรหัสทุกครั้ง การเชื่อมต่ออัตโนมัติคู่กับความลับที่บันทึกไว้หมายความว่าใครเปิดฝาเครื่องก็เข้าเครือข่ายที่ทำงานได้เลย

หากต้องการให้มีการกระทำเพิ่มเมื่อเชื่อมต่อ NetworkManager รันสคริปต์จาก /etc/NetworkManager/dispatcher.d/ พร้อมชื่ออินเทอร์เฟซและเหตุการณ์ (up, down, vpn-up, vpn-down) การใช้งานทั่วไปคือเมานต์โฟลเดอร์เครือข่ายหรือเปลี่ยนกฎไฟร์วอลล์ ให้เขียนสคริปต์สั้น ๆ ตั้งให้รันได้และเป็นของ root แล้วทดสอบโดยดู journalctl -f ขณะเชื่อมต่อ

ความลับ รหัสผ่านถูกเก็บอย่างไร

ในส่วนยืนยันตัวตน ไอคอนเล็ก ๆ ข้างช่องรหัสผ่านควบคุมการเก็บ

• เก็บรหัสผ่านเฉพาะผู้ใช้นี้ ความลับไปอยู่ใน keyring ของเดสก์ท็อป
• เก็บรหัสผ่านสำหรับทุกผู้ใช้ ความลับถูกเขียนลงไฟล์โปรไฟล์ของระบบ ผู้ดูแลระบบอ่านได้
• ถามรหัสผ่านทุกครั้ง ไม่เก็บอะไรเลย
• ไม่จำเป็น สำหรับการตั้งค่าที่ใช้ใบรับรองอย่างเดียว

สำหรับโน้ตบุ๊กส่วนตัวที่เข้ารหัสดิสก์ ตัวเลือกแรกสมดุลดี สำหรับเครื่องที่ใช้ร่วมกัน ให้ถามทุกครั้ง อย่าใส่รหัสผ่าน VPN ในสคริปต์ และอย่าส่งอีเมลไฟล์โปรไฟล์ที่มีคีย์ส่วนตัว

อ่านล็อกเมื่อมีบางอย่างล้มเหลว

อย่าเดา ให้อ่านล็อก

journalctl -u NetworkManager --since "5 minutes ago"
nmcli connection show --active
ip route
resolvectl status

จับคู่อาการกับสาเหตุ

อาการ	สาเหตุที่น่าจะเป็น	สิ่งที่ตรวจ
ชนิดหายไปจากรายการเพิ่ม	ปลั๊กอินไม่ได้ติดตั้งหรือไม่ได้โหลด	รายการแพ็กเกจ รีสตาร์ต NetworkManager
หน้าต่างขอรหัสกลับมาหลังพิมพ์รหัส	รหัสผิดหรือไม่ได้บันทึกความลับ	พิมพ์ใหม่ให้ถูก ตรวจตัวเลือกการเก็บ
เชื่อมต่อแล้วแต่เปิดเว็บไม่ได้	ไม่มีเส้นทางหลักหรือ DNS	ip route, resolvectl status
ชื่อภายในล้มเหลว แต่ใช้ IP ได้	ไม่มี DNS หรือ search domain	เพิ่ม search domain ตรวจลำดับความสำคัญ
หลุดหลังกลับจากโหมดหลับ	ลิงก์ต้อง handshake ใหม่	เชื่อมต่อใหม่ พิจารณาค่าเชื่อมอัตโนมัติ
ที่บ้านใช้ได้ ที่ออฟฟิศไม่ได้	เครือข่ายบล็อกพอร์ตของ VPN	ลองเครือข่ายอื่น เช่นข้อมูลมือถือ เพื่อยืนยัน

รายการตรวจที่กว้างกว่านี้อยู่ที่ VPN เชื่อมต่อไม่ได้

ข้อผิดพลาดที่พบบ่อย

• นำเข้าไฟล์สองครั้งจนมีสองโปรไฟล์แย่งชื่ออินเทอร์เฟซเดียวกัน
• เปิด "ใช้เฉพาะทรัพยากรบนเครือข่ายนี้" แล้วสงสัยว่าทำไมอินเทอร์เน็ตทั้งหมดไม่ได้รับการป้องกัน
• ใช้ลำดับความสำคัญ DNS ติดลบกับโปรไฟล์ที่เซิร์ฟเวอร์ DNS เข้าถึงไม่ได้ ทำให้ทุกการค้นหาล้มเหลว
• บันทึกรหัสผ่านสำหรับทุกผู้ใช้บนเครื่องที่ใช้ร่วมกัน
• ตั้งเชื่อมต่ออัตโนมัติบนโน้ตบุ๊กที่มักเข้าเครือข่ายโรงแรมที่บล็อก VPN แล้วคิดว่าเครือข่ายเสีย
• แก้ไฟล์โปรไฟล์ด้วยมือขณะ NetworkManager ทำงานโดยไม่รีโหลดด้วย nmcli connection reload

สรุป

NetworkManager มอง VPN เป็นโปรไฟล์ที่ประกอบจากปลั๊กอิน คำนิยามเซิร์ฟเวอร์ เส้นทาง DNS และวิธีเก็บความลับ เพิ่มโปรไฟล์ผ่าน Settings, nm-connection-editor หรือ nmcli connection import แล้วใช้เวลาสักครู่กับค่าที่กำหนดพฤติกรรม คืออุโมงค์เป็นเส้นทางหลักหรือไม่ ใครตอบ DNS เชื่อมต่อเมื่อไร และรหัสผ่านอยู่ที่ไหน เมื่อล้มเหลวให้อ่านล็อกและจับคู่อาการกับส่วนที่รับผิดชอบ

หากอยากใช้แอปสำเร็จรูป หน้าดาวน์โหลด แสดงแพลตฟอร์มที่รองรับ และ หน้าราคา แสดงตัวเลือกพาสเติมเงิน