Split Tunneling บน macOS ทำอย่างไร

เครื่อง Mac แทบไม่เคยทำงานเดียวทีละอย่าง ประชุมวิดีโอเปิดคู่กับดาวน์โหลดไฟล์ แท็บธนาคารอยู่ข้างเอกสารงาน และเครื่องพิมพ์ในบ้านก็ต้องใช้ได้เหมือนเดิม พอ VPN ส่งทุกอย่างผ่านอุโมงค์เดียว มักมีบางอย่างทำงานผิดปกติ และนั่นคือจุดที่หลายคนเริ่มค้นหาคำว่า Split Tunneling Mac

บทความนี้เจาะจงที่เครื่อง Mac โดยตรง ว่า macOS ให้อะไรมาบ้าง ไม่ให้อะไร มีทางไหนบ้างที่ทำได้จริงสามแนวทาง และจะตรวจสอบอย่างไรว่าการแยกที่ตั้งไว้ใช้ได้จริง หากต้องการเข้าใจแนวคิดทั่วไปก่อน ให้อ่านSplit Tunneling คืออะไร ส่วนบทความนี้จะลงรายละเอียดเชิงปฏิบัติ และจะบอกข้อจำกัดอย่างตรงไปตรงมา เพราะคำตอบที่ซื่อสัตย์ที่สุดบน macOS คือ "ขึ้นอยู่กับแอป VPN ที่คุณใช้"

macOS ให้อะไรและไม่ให้อะไร

macOS จัดการ VPN ผ่านชั้นระบบที่แอปต่าง ๆ มาเชื่อมต่อ แอป VPN จะขออนุญาตเพิ่มการตั้งค่า คุณยืนยันด้วยรหัสผ่านเครื่องหรือ Touch ID จากนั้นระบบจะส่งทราฟฟิกผ่านอินเทอร์เฟซเครือข่ายเสมือน ซึ่งคุณมองเห็นใน Terminal เป็นชื่อที่ขึ้นต้นด้วย utun

สิ่งที่ชั้นระบบไม่ได้มอบให้ผู้ใช้ทั่วไปคือสวิตช์ที่บอกว่า "ให้แอปนี้ออกนอก VPN" เมื่อเปิดการตั้งค่าระบบแล้วไปที่ส่วน VPN คุณเปิดหรือปิดการเชื่อมต่อ ดูรายละเอียด และลบได้ แต่ไม่สามารถกำหนดแอปให้กับการเชื่อมต่อนั้นได้ กฎ VPN ระดับแอปมีอยู่ในแพลตฟอร์มของ Apple จริง แต่ส่งผ่านโปรไฟล์จัดการอุปกรณ์ที่ฝ่ายไอทีขององค์กรติดตั้งบนเครื่องที่ดูแลโดยองค์กร ไม่ใช่หน้าตั้งค่าส่วนตัว

ดังนั้นบน Mac ส่วนตัว การแยกทราฟฟิกมาจากสามที่เท่านั้น

1. ตัวแอป VPN เอง หากผู้พัฒนาสร้างฟีเจอร์ยกเว้นไว้
2. ตารางเส้นทาง (routing table) ซึ่งอ่านได้ และแก้ไขได้ด้วยความระมัดระวัง
3. นิสัยและวิธีเลี่ยง ที่แก้ปัญหาได้โดยไม่ต้องแยกทราฟฟิกเลย

เนื้อหาที่เหลือจัดอยู่ในสามข้อนี้ และสิ่งที่คุณใช้ได้ขึ้นอยู่กับเวอร์ชันของแอปที่ติดตั้ง จึงควรตรวจก่อนวางแผน เราไม่ได้อ้างว่าแอปใดมีฟีเจอร์นี้ ให้เปิดดูในหน้าตั้งค่าของแอป ถ้าไม่มีก็ข้ามไปทางเลือกถัดไป

ทางเลือกที่หนึ่ง ตั้งค่ายกเว้นในแอป VPN

เมื่อแอป VPN มี Split Tunneling มักมีสองรูปแบบ

รายการยกเว้น ทุกอย่างใช้ VPN ยกเว้นแอปหรือเว็บไซต์ที่คุณเพิ่มเข้าไป เป็นค่าเริ่มต้นที่ปลอดภัยกว่า เพราะซอฟต์แวร์ที่ติดตั้งในอนาคตจะได้รับการคุ้มครองโดยอัตโนมัติ

รายการเฉพาะที่เลือก มีเพียงแอปหรือเว็บไซต์ที่คุณเพิ่มเท่านั้นที่ใช้ VPN ที่เหลือออกทางปกติ เหมาะกับคนที่ต้องการใช้ VPN กับเบราว์เซอร์ตัวเดียว แต่พลาดง่ายกว่า เพราะสิ่งที่คุณลืมใส่จะไม่ได้รับการคุ้มครอง

บน macOS การแยกตามแอปเป็นเรื่องที่ผู้พัฒนาทำได้ยากกว่าบางระบบ เพราะต้องจำแนกและเบี่ยงทราฟฟิกของแต่ละโปรเซสผ่านส่วนขยายเครือข่าย แอปบางตัวจึงให้แยกตามเว็บไซต์หรือที่อยู่แทน ซึ่งเป็นคนละเรื่องกัน คือกฎที่ผูกกับปลายทาง ไม่ใช่ผูกกับโปรแกรม และทั้งสองแบบทำงานต่างกันเมื่อโปรแกรมอย่างเบราว์เซอร์ติดต่อปลายทางจำนวนมาก

หากพบตัวเลือก Split Tunneling การตั้งค่าครั้งแรกที่สมเหตุสมผลมีขั้นตอนดังนี้

1. เชื่อมต่อตามปกติ แล้วยืนยันว่า IP สาธารณะเปลี่ยนไป (เปิดหน้าเว็บ "เช็ก IP ของฉัน" ในเบราว์เซอร์)
2. เพิ่ม เพียงหนึ่งรายการ ในรายการยกเว้น ไม่ใช่ห้ารายการพร้อมกัน
3. เชื่อมต่อใหม่ เพราะแอปจำนวนมากใช้รายการนี้ตอนสร้างอุโมงค์เท่านั้น
4. ทดสอบแอปที่ยกเว้นและแอปที่ไม่ยกเว้นแยกกัน (ดูหัวข้อทดสอบด้านล่าง)
5. จากนั้นจึงเพิ่มรายการถัดไป

การเพิ่มทีละรายการดูช้า แต่เมื่อมีอะไรพัง คุณจะรู้ทันทีว่าเกิดจากการเปลี่ยนแปลงใด

หากแอป VPN ของคุณไม่มีฟีเจอร์นี้ ก็ไม่ใช่เรื่องผิดปกติ แอปที่ใช้ทุกวันอาจเป็นแอปแบบส่งทั้งการเชื่อมต่อผ่าน VPN อย่างเรียบง่าย ซึ่งในกรณีนั้นทางเลือกที่สองและสามคือเครื่องมือจริงของคุณ

ทางเลือกที่สอง อ่านและปรับตารางเส้นทาง

Mac ทุกเครื่องมีตารางเส้นทาง เป็นรายการที่กำหนดว่าทราฟฟิกไปยังปลายทางใดจะใช้อินเทอร์เฟซเครือข่ายตัวไหน VPN แบบส่งทั้งหมดทำงานโดยทำให้อินเทอร์เฟซของอุโมงค์เป็นเส้นทางหลัก (default route) การแยกในระดับเส้นทางจึงหมายถึงบางปลายทางยังคงมีเส้นทางที่ชี้ไปยังการเชื่อมต่อปกติของคุณ

การดูตารางเส้นทางปลอดภัย เพราะการอ่านไม่เปลี่ยนอะไร เปิด Terminal แล้วพิมพ์

netstat -rn -f inet

คุณจะเห็นแถวของเส้นทางหลัก เครือข่ายในบ้าน และเซิร์ฟเวอร์ VPN เอง ขณะที่อุโมงค์แบบเต็มทำงานอยู่ แถว default มักชี้ไปที่อินเทอร์เฟซ utun ส่วนแถวของเครือข่ายในบ้าน (เช่น 192.168.1.0/24 ซึ่งเป็นช่วงที่อยู่ส่วนตัวตามที่ RFC 1918 กำหนด) ยังชี้ไปที่ en0 นี่คือเหตุผลที่ Mac มักยังเห็นเครื่องพิมพ์ได้ เพราะเส้นทางเฉพาะเจาะจงกว่าชนะเส้นทางหลัก

หากต้องการถามระบบว่าจะไปถึงที่อยู่หนึ่ง ๆ ผ่านทางใด ให้พิมพ์

route -n get 192.168.1.20

เปลี่ยนที่อยู่เป็นเครื่องพิมพ์ NAS หรือปลายทางอื่นที่ต้องการ ผลลัพธ์จะมีบรรทัด interface: ถ้าเป็น en0 (Wi-Fi บนโน้ตบุ๊กส่วนใหญ่) หรือ en1 แปลว่าทราฟฟิกนั้นไม่เข้าอุโมงค์ ถ้าเป็น utun ตามด้วยตัวเลข แปลว่าเข้าอุโมงค์

การแก้ไขทำได้ด้วย sudo route เช่น เพิ่มเส้นทางเฉพาะที่อยู่หนึ่งผ่านเราเตอร์ในบ้าน เราพูดถึงเพื่อให้รู้ว่ามีอยู่ ไม่ได้แนะนำให้ใช้เป็นประจำ ด้วยเหตุผลต่อไปนี้

• เส้นทางที่เพิ่มเองอยู่ในหน่วยความจำ การรีสตาร์ต เปลี่ยน Wi-Fi หรือเชื่อมต่อแอป VPN ใหม่อาจทำให้หายไป หรือแอปอาจเขียนทับ
• พิมพ์ผิดอาจตัดการเชื่อมต่อของคุณเอง หากเกิดขึ้น การรีสตาร์ต Mac จะล้างเส้นทางที่เพิ่มด้วยมือ
• คุณต้องรับผิดชอบทราฟฟิกที่ไม่ผ่านอุโมงค์ และต้องจำให้ได้ว่าเคยทำไว้
• บน Mac ที่บริษัทหรือสถานศึกษาดูแล อย่าแก้ไขเส้นทางเลย อาจผิดนโยบาย และโปรไฟล์จัดการอาจย้อนการแก้ไขของคุณ

มองการแก้เส้นทางเป็นทักษะเพื่อวินิจฉัยว่า VPN ทำอะไรไว้ ซึ่งเป็นประโยชน์ที่คนส่วนใหญ่ได้จริง

ทางเลือกที่สาม วิธีเลี่ยงโดยไม่ต้องแยกทราฟฟิก

หลายครั้งสิ่งที่คนต้องการไม่ใช่ Split Tunneling โดยตรง แต่เป็นการกำจัดความรำคาญเฉพาะอย่าง นิสัยง่าย ๆ ไม่กี่ข้อแก้ได้เกือบทั้งหมด

• พัก VPN ชั่วคราวสำหรับงานเดียว หากธนาคาร พอร์ทัลราชการ หรือหน้าชำระเงินต้องการเห็นการเชื่อมต่อปกติ ให้ตัดการเชื่อมต่อ ทำงานนั้นบนเครือข่ายที่ไว้ใจ แล้วเชื่อมต่อใหม่ คู่มือวิธีปิด VPN บนทุกอุปกรณ์ อธิบายวิธีปิดให้เรียบร้อย ไม่ค้างครึ่งทาง
• ใช้อีกอุปกรณ์สำหรับงานที่เรื่องมาก ทำธุรกรรมธนาคารบนโทรศัพท์ผ่านเน็ตมือถือ แล้วปล่อยให้ Mac ใช้ VPN ต่อไป
• แยกโปรไฟล์เบราว์เซอร์สำหรับบริการที่เรื่องมาก วิธีนี้ไม่เปลี่ยนเส้นทาง แต่แยกคุกกี้ และปิดเซสชันได้เร็วก่อนเชื่อมต่อ VPN ใหม่
• ใช้ตัวเลือกในแอป VPN บริการบางอย่าง เช่น แอปประชุมวิดีโอ ทำงานดีขึ้นเมื่อเลือกตำแหน่งเซิร์ฟเวอร์อื่นในแอป แทนที่จะออกจากอุโมงค์
• ใช้ฮอตสปอตสำหรับข้อยกเว้น อุปกรณ์อีกเครื่องบนฮอตสปอตมือถืออยู่นอกอุโมงค์ของ Mac โดยธรรมชาติ

ไม่มีข้อใดสวยเท่ารายการต่อแอป แต่ข้อดีคือมองเห็นได้และย้อนกลับได้ และคุณไม่ลืมว่าอะไรถูกเปิดโล่งไว้

ปกติเขายกเว้นอะไร และอะไรไม่ควรยกเว้น

ทุกแอปไม่ควรได้รับการปฏิบัติเหมือนกัน ตารางนี้เป็นจุดเริ่มต้นของการคิด ไม่ใช่กฎตายตัว

ทราฟฟิก	เหตุผลที่ยกเว้น	เหตุผลที่ควรให้อยู่ในอุโมงค์
เครื่องพิมพ์ NAS ศูนย์รวมสมาร์ตโฮมในเครือข่ายบ้าน	อุปกรณ์เหล่านี้คุยกับ Mac ภายในเครือข่าย อาจเข้าถึงไม่ได้ผ่านอุโมงค์	โดยมากเข้าถึงได้ผ่านเส้นทางภายในอยู่แล้ว จึงมักไม่จำเป็นต้องยกเว้น
เว็บธนาคารและชำระเงิน	บางแห่งมองว่า VPN ผิดปกติและเพิ่มการตรวจสอบ	Wi-Fi สาธารณะคือที่ที่ควรได้รับการคุ้มครองที่สุด ถ้าทำได้ให้ใช้เน็ตมือถือแทน
ประชุมวิดีโอและเกมออนไลน์	ไวต่อความหน่วง การอ้อมเพิ่มหนึ่งทอดเพิ่มดีเลย์	การประชุมที่มีเนื้อหาลับได้ประโยชน์จากอุโมงค์บนเครือข่ายที่ใช้ร่วมกัน
ดาวน์โหลดไฟล์ใหญ่จากแหล่งท้องถิ่นที่ไว้ใจ	ประหยัดความจุของอุโมงค์	ไฟล์จากแหล่งไม่คุ้นเคยควรได้รับการคุ้มครอง
เครื่องมือทำงานที่เข้าผ่าน VPN ของบริษัท	VPN สองตัวบนเครื่องเดียวมักขัดกัน	ทำตามคำแนะนำของนายจ้าง อย่าเดาเอง
เบราว์เซอร์ที่ล็อกอินหลายบัญชี	แทบไม่ควรยกเว้น	นี่คือทราฟฟิกที่ VPN มีไว้ปกป้อง

รูปแบบที่ควรจำคือ ยกเว้นเพราะเป็นของ ภายในเครือข่าย ไวต่อความหน่วง หรือ เรื่องมากกับการเชื่อมต่อ VPN จริง ๆ ไม่ใช่เพียงเพราะรู้สึกว่า VPN ช้า หากปัญหาจริงคือความเร็ว คู่มือVPN ช้าเพราะอะไร และเร่งอย่างไร เป็นจุดเริ่มที่เหมาะกว่า

สามสถานการณ์บน Mac จริง

พนักงานทำงานที่บ้าน พริยาใช้ MacBook บน Wi-Fi ที่บ้าน เธออยากเปิด VPN ขณะทำงานในอพาร์ตเมนต์ที่มีผู้อยู่ร่วมกัน แต่เครื่องพิมพ์ในเครือข่ายหายทุกครั้งที่เชื่อมต่อ เธอรัน route -n get กับที่อยู่ของเครื่องพิมพ์ แล้วเห็น en0 แปลว่าเส้นทางปกติ ปัญหากลายเป็นตัวเลือกประเภทบล็อกเครือข่ายภายในในแอป VPN เมื่อปิดตัวเลือกเดียวนั้น การพิมพ์กลับมาใช้ได้โดยไม่ต้องแยกทราฟฟิกใด ๆ

นักศึกษาบนเครือข่ายมหาวิทยาลัย ทอมเข้าพอร์ทัลมหาวิทยาลัยที่ขอยืนยันตัวตนเพิ่มทุกครั้งที่เห็นการเชื่อมต่อที่ไม่คุ้น เขาเปิด VPN สำหรับอีเมลและท่องเว็บ แล้วตัดการเชื่อมต่อห้านาทีที่พอร์ทัลต้องใช้ จากนั้นเชื่อมต่อใหม่ การทำรายการแยกเพื่อเว็บเดียวมากเกินไป และเขาไม่เสี่ยงลืมว่ายกเว้นอะไรไว้

ผู้ทำงานระยะไกลที่มี VPN สองตัว เหม่ยหลิงมี VPN ของบริษัทสำหรับเครื่องมือของนายจ้าง และ VPN ส่วนตัวสำหรับ Wi-Fi ร้านกาแฟ เมื่อเปิดสองตัวพร้อมกัน ตัวหนึ่งจะเสียเส้นทางหลัก เธอเลิกพยายามรวมกัน ใช้ VPN บริษัทกับงาน ใช้ตัวส่วนตัวกับที่เหลือ และไม่เปิดคู่กัน เมื่อไม่แน่ใจ เธอรัน netstat -rn -f inet เพื่อดูว่าอุโมงค์ใดถือเส้นทางหลักอยู่

ทดสอบว่าการแยกใช้ได้จริง

การตั้งค่าที่ไม่เคยทดสอบก็คือการเดา ใช้ขั้นตอนสั้น ๆ นี้ทุกครั้งที่เปลี่ยนอะไร

1. ค่าตั้งต้น ปิด VPN แล้วจด IP สาธารณะจากหน้าเว็บ "เช็ก IP ของฉัน"
2. เปิดอุโมงค์ เชื่อมต่อแล้วโหลดหน้าเดิม ที่อยู่ควรเปลี่ยน ถ้าไม่เปลี่ยน แปลว่า VPN ไม่ได้พาทราฟฟิกของเบราว์เซอร์นั้นเลย ซึ่งเป็นปัญหาคนละอย่าง ดูคู่มือแก้ปัญหา VPN บน Mac
3. ทดสอบสิ่งที่ยกเว้น ถ้ายกเว้นเป็นแอป ใช้ฟังก์ชันเช็ก IP ในแอปนั้นถ้ามี หรือดูว่าเข้าถึงทรัพยากรภายในได้หรือไม่ ถ้ายกเว้นเป็นปลายทาง ให้รัน route -n get กับปลายทางนั้น
4. ทดสอบสิ่งที่ควรได้รับการคุ้มครอง เปิดเบราว์เซอร์หลักและยืนยันว่ายังแสดงที่อยู่ของ VPN
5. เชื่อมต่อใหม่แล้วทดสอบซ้ำ ตัดการเชื่อมต่อ เชื่อมต่อใหม่ ทดสอบอีกครั้ง การแยกที่หายไปหลังเชื่อมต่อใหม่ไม่เคยยั่งยืนมาตั้งแต่ต้น
6. ตรวจการรั่ว ดูพฤติกรรม DNS และ IPv6 เพราะการแยกอาจทิ้งการค้นหาชื่อไว้ผิดเส้นทาง บทความเรื่องDNS Leak อธิบายสิ่งที่ควรสังเกต

จดสิ่งที่เปลี่ยนไว้ในที่ที่หาเจอ การลืมว่ายกเว้นอะไรคือสาเหตุที่พบบ่อยที่สุดที่ทำให้คนไม่ได้รับการคุ้มครองโดยไม่รู้ตัว

ข้อจำกัดและข้อผิดพลาดที่พบบ่อย

แม้ Split Tunneling ที่ทำดีก็มีข้อแลกเปลี่ยนในตัว

• สิ่งที่ปล่อยไว้นอกอุโมงค์ก็ถูกเปิดโล่ง ทราฟฟิกนอกอุโมงค์ผู้ดูแลเครือข่ายท้องถิ่นเห็นได้เหมือนไม่ได้ใช้ VPN
• กฎที่ผูกกับโดเมนลื่นไหล เว็บไซต์หนึ่งมักโหลดสคริปต์ รูปภาพ และ API จากโดเมนอื่นอีกมาก การยกเว้นชื่อหลักอาจไม่ครอบคลุมทุกอย่างที่หน้าเว็บใช้ และกลับกันก็เป็นจริง
• IPv6 อาจทำงานต่างออกไป หากกฎยกเว้นครอบคลุมเฉพาะ IPv4 ทราฟฟิก IPv6 อาจไปทางที่คุณไม่ได้ตั้งใจ
• DNS อาจไม่ตามการแยก ปลายทางถูกยกเว้น แต่การค้นหาชื่อยังผ่านอุโมงค์ หรือกลับกัน ทำให้เกิดอาการแปลก ๆ
• การอัปเดตอาจรีเซ็ตค่า การอัปเดต macOS หรือแอป VPN อาจเปลี่ยนวิธีทำงานของส่วนขยายและล้างรายการของคุณ
• VPN ของคุณอาจไม่มีฟีเจอร์นี้เลย ไม่ใช่ข้อบกพร่อง แอปเรียบง่ายหลายตัวตั้งใจปกป้องทั้งการเชื่อมต่อ ไม่มีอย่างอื่น

ข้อผิดพลาดที่พบบ่อยนับได้ง่าย ๆ คือ ยกเว้นห้าแอปตั้งแต่วันแรก ลืมว่ายกเว้นอะไร แก้เส้นทางบน Mac ที่องค์กรดูแล ใช้รายการเฉพาะที่เลือกแล้วสงสัยว่าทำไมเบราว์เซอร์ใหม่ไม่ได้รับการคุ้มครอง และโทษ VPN เรื่องความช้าทั้งที่สาเหตุจริงคือ Wi-Fi

สรุป

macOS ไม่มีสวิตช์ Split Tunneling ต่อแอปสำหรับผู้ใช้ทั่วไป การแยกทราฟฟิกบน Mac จึงมาจากสามทาง คือฟีเจอร์ยกเว้นในแอป VPN การใช้ตารางเส้นทางอย่างระมัดระวัง หรือวิธีเลี่ยงง่าย ๆ เช่น พัก VPN ชั่วคราวสำหรับงานเดียว ไม่ว่าเลือกทางใด ให้เปลี่ยนทีละอย่าง ทดสอบด้วย IP สาธารณะและ route -n get จำไว้ว่าทราฟฟิกที่ยกเว้นไม่ได้รับการคุ้มครอง และเลือกวิธีที่เรียบง่ายที่สุดที่แก้ความรำคาญจริงของคุณ หากต้องการติดตั้งแบบส่งทั้งการเชื่อมต่อผ่าน VPN บน Mac คุณดาวน์โหลดแอป VPNclient ฟรี ได้ และดูแพ็กเกจที่หน้าราคา เมื่อพร้อม