MASQUE คืออะไร? เกี่ยวข้องกับการทำ Tunnel อย่างไร

นานมาแล้วที่คำว่า "โปรโตคอล VPN" หมายถึงรายชื่อสั้น ๆ ไม่กี่ชื่อ เช่น IPsec, OpenVPN และ WireGuard แต่ MASQUE ต่างออกไป มันไม่ได้ถูกออกแบบมาเป็นผลิตภัณฑ์ VPN ที่ยืนอยู่ด้วยตัวเอง แต่เป็นชุดส่วนประกอบจาก IETF ที่ให้ไคลเอนต์เปิดอุโมงค์ผ่านพร็อกซีเว็บธรรมดา โดยใช้ HTTP/3 ซึ่งวิ่งอยู่บน QUIC อีกที ที่มานี้อธิบายแทบทุกอย่างเกี่ยวกับพฤติกรรมของ MASQUE ว่ามันเก่งอะไร และทำไมจึงทำให้คนที่คาดหวัง VPN แบบเดิมแปลกใจ

บทความนี้อธิบาย MASQUE แบบเข้าใจง่าย ไล่ดูสองเมธอดสร้างอุโมงค์ที่จะได้ยินบ่อย เทียบกับโปรโตคอลที่คุ้นเคยกว่า และสรุปข้อจำกัด เป็นเนื้อหาเชิงความรู้ ไม่ใช่การขายสินค้า หากคำว่า "โปรโตคอล" ยังเลือน ๆ ให้เริ่มที่ โปรโตคอล VPN คืออะไร

MASQUE คืออะไรกันแน่

MASQUE ย่อมาจาก Multiplexed Application Substrate over QUIC Encryption เริ่มต้นเป็นกลุ่มทำงานของ IETF และปัจจุบันชื่อนี้ใช้เรียกชุดข้อกำหนดที่กลุ่มนั้นสร้างขึ้น แนวคิดกลางง่ายมาก คือแทนที่จะคิดรูปแบบอุโมงค์ใหม่ที่มีพอร์ตและการจับมือเป็นของตัวเอง ก็นำสิ่งที่อินเทอร์เน็ตใช้อยู่ทุกหนแห่งมาใช้ซ้ำ นั่นคือ HTTP

พร็อกซี HTTP ปกติทำหน้าที่ส่งต่อคำขอเว็บ HTTP ยังมีเมธอดชื่อ CONNECT ซึ่งขอให้พร็อกซีเปิดการเชื่อมต่อดิบไปยังปลายทางแล้วถอยออกไป MASQUE ขยายแนวคิดเก่านี้ไปสองทาง

• CONNECT-UDP ให้ไคลเอนต์ขอให้พร็อกซีส่งต่อดาตาแกรม UDP ไปยังปลายทาง
• CONNECT-IP ให้ไคลเอนต์ขอให้พร็อกซีส่งต่อแพ็กเก็ต IP ทั้งก้อน ซึ่งทำให้พร็อกซีกลายเป็นเกตเวย์แบบ VPN

ทั้งสองขี่อยู่บน HTTP/3 ตัวอุโมงค์จึงถูกขนอยู่ในการเชื่อมต่อ QUIC ซึ่งเป็นโปรโตคอลขนส่งยุคใหม่ที่สร้างบน UDP และฝังการเข้ารหัสมาในตัว รายละเอียดของชั้นนั้นดูได้ในมาตรฐาน QUIC ที่ลิงก์ไว้ในแหล่งอ้างอิง ในบทความนี้จำแค่ว่า QUIC ให้การเข้ารหัส การแบ่งช่องสัญญาณ และพฤติกรรมที่ดีเมื่อเครือข่ายเปลี่ยน

อุโมงค์ MASQUE ถูกตั้งขึ้นอย่างไร

เซสชัน MASQUE มีสามขั้น และการดูตามลำดับทำให้เห็นการออกแบบชัดขึ้น

1. เชื่อมต่อกับพร็อกซี ไคลเอนต์เปิดการเชื่อมต่อ QUIC ไปหาพร็อกซีและทำ TLS 1.3 handshake จนเสร็จ พร็อกซีพิสูจน์ตัวตนด้วยใบรับรอง เหมือนเว็บไซต์ทั่วไป
2. ยืนยันตัวตน ไคลเอนต์ส่งคำขอ HTTP ที่มีข้อมูลรับรอง เช่นโทเคนหรือเฮดเดอร์อื่น พร็อกซีตัดสินว่าจะให้เปิดอุโมงค์หรือไม่ เนื่องจากเป็นความหมายแบบ HTTP ปกติ จึงนำระบบยืนยันตัวตนและนโยบายที่มีอยู่แล้วมาใช้ซ้ำได้
3. เปิดอุโมงค์ ไคลเอนต์ส่งคำขอ CONNECT-UDP หรือ CONNECT-IP ถ้าพร็อกซีตกลง Stream HTTP จะเปิดค้างไว้เป็นช่องควบคุม และข้อมูลเดินทางในดาตาแกรม HTTP ควบคู่ไปด้วย

จากนั้นแพ็กเก็ตจากอุปกรณ์ของคุณจะถูกห่อด้วยดาตาแกรม HTTP เข้ารหัสด้วย QUIC แล้วส่งไปยังพร็อกซี พร็อกซีแกะออกและส่งต่อไปยังปลายทางจริง คำตอบกลับมาทางเดียวกัน

ผลในทางปฏิบัติคือพร็อกซีอาจเป็นเซิร์ฟเวอร์ HTTP/3 ธรรมดาที่เพิ่มความสามารถ และวางอยู่หลังตัวกระจายโหลดและเครื่องมือจัดการใบรับรองชุดเดียวกับที่ให้บริการเว็บไซต์ นี่ดึงดูดผู้ให้บริการ และเป็นเหตุผลหลักที่คนสนใจ MASQUE

CONNECT-UDP กับ CONNECT-IP

สองเมธอดนี้ดูคล้ายกันแต่แก้ปัญหาคนละอย่าง

คุณสมบัติ	CONNECT-UDP	CONNECT-IP
ขนอะไร	สายข้อมูล UDP รายสายไปยังปลายทางที่ระบุชื่อ	แพ็กเก็ต IP ทั้งก้อน ทุกโปรโตคอล
การใช้งานทั่วไป	ส่งต่อทราฟฟิก QUIC หรือเสียงของแอปหนึ่งตัว	อุโมงค์เต็มรูปแบบสไตล์ VPN สำหรับทั้งอุปกรณ์
การกำหนดที่อยู่	ไม่มี ไคลเอนต์ระบุปลายทางแต่ละครั้ง	พร็อกซีให้ที่อยู่และเส้นทางแก่ไคลเอนต์ได้
บทบาทพร็อกซี	ตัวส่งต่อสำหรับบางการเชื่อมต่อ	เกตเวย์ระหว่างอุปกรณ์ของคุณกับเครือข่าย
เหมาะกับ "ทราฟฟิกทั้งหมด"	ไม่เหมาะ	เหมาะ

CONNECT-IP ถูกนิยามไว้ในมาตรฐานชื่อ "Proxying IP in HTTP" ที่ลิงก์ในแหล่งอ้างอิง และเป็นตัวที่ทำให้ MASQUE เทียบกับ VPN ได้ ไคลเอนต์ขอที่อยู่ IP รับเส้นทาง แล้วส่งแพ็กเก็ตอะไรก็ได้ ส่วน CONNECT-UDP ใกล้เคียงพร็อกซีเพื่อความเป็นส่วนตัวสำหรับแอปบางตัว แนวทางที่อธิบายไว้ใน รีเลย์ความเป็นส่วนตัวเทียบกับ VPN เต็มรูปแบบ

MASQUE เทียบกับโปรโตคอลที่คุ้นเคย

การเทียบช่วยให้เห็นตำแหน่งของมัน นี่เป็นภาพรวมทั่วไป ไม่ใช่ข้อความเกี่ยวกับผลิตภัณฑ์ใดโดยเฉพาะ

ด้าน	WireGuard	OpenVPN	MASQUE (CONNECT-IP)
จุดกำเนิด	สร้างมาเพื่อ VPN	สร้างมาเพื่อ VPN	ขยายจากพร็อกซี HTTP ไปสู่ IP
การขนส่ง	UDP	UDP หรือ TCP	QUIC บน UDP (HTTP/3)
การจับมือ	สั้น ใช้กุญแจ	อิง TLS	TLS 1.3 ภายใน QUIC
การยืนยันตัวตน	กุญแจสาธารณะ	ใบรับรอง รหัสผ่าน	ข้อมูลรับรองแบบ HTTP โทเคน ใบรับรอง
ซอฟต์แวร์ฝั่งเซิร์ฟเวอร์ทั่วไป	เดมอนเฉพาะ	เดมอนเฉพาะ	พร็อกซีที่รองรับ HTTP/3
ความสุกงอม	ใช้แพร่หลาย	ใช้แพร่หลายมาก	ใหม่กว่า มีการพัฒนาน้อยกว่า

หากอยากดูสองตัวเลือกเก่าอย่างลึก อ่าน WireGuard เทียบ OpenVPN ข้อสรุปคือ MASQUE แลกความเรียบง่ายของโปรโตคอล VPN เฉพาะทางกับการเข้ากับโครงสร้างพื้นฐานเว็บ ซึ่งอาจแปลว่าดูแลง่ายขึ้น ยืนยันตัวตนได้ยืดหยุ่น และทำงานได้ดีเมื่อมือถือสลับจาก Wi-Fi ไปเน็ตมือถือ แต่ก็หมายถึงชุดซอฟต์แวร์ที่ใหญ่ขึ้นและต้องทำให้ถูกต้องทั้งหมด

สถานการณ์จริงที่การออกแบบนี้มีผล

สลับเครือข่ายบนมือถือ เฉินเดินออกจากสถานีรถไฟ มือถือเปลี่ยนจาก Wi-Fi ของสถานีไปใช้เน็ตมือถือ QUIC ระบุการเชื่อมต่อด้วยรหัสภายใน ไม่ใช่ที่อยู่ของผู้ส่ง อุโมงค์ MASQUE จึงมักทำงานต่อได้โดยไม่ต้องเริ่มใหม่ทั้งหมด เฉินเห็นแค่การหยุดสั้น ๆ แทนที่จะหลุด อุโมงค์แบบเดิมก็จัดการได้เช่นกัน แต่ QUIC ทำให้เป็นความสามารถในตัวมากกว่าส่วนเสริม

บริษัทที่มีพร็อกซีเว็บอยู่แล้ว ทีมไอทีมีตัวกระจายโหลด ระบบใบรับรองอัตโนมัติ และการลงชื่อเข้าใช้ครั้งเดียวที่ผูกกับระบบเว็บ การเพิ่ม CONNECT-IP ให้พร็อกซี HTTP/3 ทำให้พนักงานเข้าถึงทรัพยากรภายในโดยใช้กฎลงชื่อเข้าใช้ที่ไว้ใจอยู่แล้ว โดยไม่ต้องดูแลเดมอน VPN แยกที่มีขั้นตอนใบรับรองของตัวเอง

เครือข่ายที่ทิ้ง UDP โรงแรมและออฟฟิศบางแห่งยอมให้เฉพาะทราฟฟิกเว็บแบบ TCP ผ่าน แต่ HTTP/3 ต้องใช้ UDP อุโมงค์ MASQUE จึงอาจเริ่มไม่ได้ บางการออกแบบถอยไปใช้ HTTP/2 บน TCP ซึ่งใช้ได้แต่เสียข้อดีบางอย่าง นี่คือข้อจำกัดทางเทคนิค ไม่ใช่สิ่งที่ควรแก้ด้วยการเดา หากเจอ ให้ดูบทความแก้ปัญหา VPN ใช้ไม่ได้บน Wi-Fi บางแห่ง ซึ่งไล่การตรวจสอบที่สมเหตุสมผลให้

สิ่งที่ MASQUE ไม่ได้เปลี่ยน

เทคโนโลยีใหม่ถูกโอ้อวดเกินจริงได้ง่าย จึงควรจำข้อจำกัดเหล่านี้

• ไม่ใช่การรับประกันความเป็นส่วนตัว อุโมงค์พาแพ็กเก็ตไปถึงพร็อกซี หลังจากนั้นผู้ดูแลพร็อกซีเห็นปลายทางที่คุณไปได้ เหมือนเกตเวย์ VPN ทุกแบบ ความไว้ใจในผู้ดูแลสำคัญกว่าชื่อโปรโตคอล
• ไม่ได้ซ่อนคุณจากเว็บไซต์ การล็อกอินบัญชี การยอมรับคุกกี้ หรือใช้เบราว์เซอร์ที่มีลักษณะเฉพาะ ยังระบุตัวคุณได้ ดู สิ่งที่ VPN ปกป้องคุณไม่ได้
• ไม่ได้ทำให้เน็ตช้ากลายเป็นเร็ว การเข้ารหัส ระยะทาง และคุณภาพสายของคุณยังเป็นปัจจัยหลักของความเร็ว เรื่องนี้ ทำไมความเร็วอินเทอร์เน็ตเปลี่ยนเมื่อใช้ VPN เป็นแนวทางที่ดีกว่า
• ไม่ได้ทำให้ทุกเว็บไซต์ใช้งานได้ เว็บไซต์ยังปฏิเสธทราฟฟิกจากที่อยู่ของพร็อกซีหรือเกตเวย์ได้
• การรองรับยังไม่สม่ำเสมอ ระบบปฏิบัติการ แอป และซอฟต์แวร์เซิร์ฟเวอร์รองรับ MASQUE ไม่เท่ากัน ระบบนิเวศยังเด็กกว่า WireGuard หรือ OpenVPN คุณอาจเจอมันในผลิตภัณฑ์โดยไม่เห็นชื่อ เพราะมันอาจอยู่ใต้ฟีเจอร์ ไม่ได้ขึ้นเป็นตัวเลือกในเมนู

เราไม่ได้อ้างว่าผู้ให้บริการรายใดมีโปรโตคอลใดบ้าง หากบริการหนึ่งโฆษณาว่าใช้ MASQUE ให้อ่านว่าหมายถึงอะไรจริง ๆ คืออุโมงค์เต็มสำหรับอุปกรณ์ พร็อกซีสำหรับบางแอป หรือส่วนประกอบภายใน

วิธีประเมินผลิตภัณฑ์ที่ใช้ MASQUE

ถ้าผู้ขายบอกว่าอุโมงค์ของตนอิง MASQUE ลองถามคำถามตรง ๆ เหล่านี้

1. เป็น CONNECT-IP หรือ CONNECT-UDP อย่างแรกขนทราฟฟิกทั้งหมด อย่างหลังขนบางสาย
2. เกิดอะไรขึ้นเมื่อ UDP ถูกบล็อก แอปถอยไปใช้ทางอื่น แสดงข้อผิดพลาดชัดเจน หรือค้างเฉย ๆ
3. ผู้ให้บริการเห็นอะไร อ่านข้อกำหนดและดูว่าพูดถึงปลายทางและข้อมูลการเชื่อมต่อไว้อย่างไร
4. ยืนยันตัวตนไคลเอนต์อย่างไร โทเคนและใบรับรองใช้ได้ แต่ควรรู้ว่าเก็บไว้ที่ใดและเพิกถอนอย่างไร
5. ป้องกันการรั่วไหลหรือไม่ พฤติกรรมของ DNS และ IPv6 ควรทดสอบไม่ว่าจะใช้โปรโตคอลใด บทความ วิธีทดสอบ VPN มีการตรวจง่าย ๆ ให้
6. คำกล่าวอ้างคืออะไร และซื่อสัตย์หรือไม่ คำว่า "เจเนอเรชันถัดไป" ไม่ใช่ฟีเจอร์

ตัวอย่างเทียบกับพร็อกซีเว็บทั่วไป

หลายคนสงสัยว่า MASQUE ต่างจากพร็อกซีเบราว์เซอร์ธรรมดาอย่างไร พร็อกซีธรรมดาส่งต่อคำขอ HTTP หรือสาย TCP ที่แอปส่งมาตรง ๆ โดยโปรแกรมต้องถูกตั้งค่าให้ใช้พร็อกซีทีละตัว ขณะที่ CONNECT-IP ทำให้ทั้งอุปกรณ์ได้เส้นทางและที่อยู่ภายในอุโมงค์ ทุกแอปจึงไปทางเดียวกันโดยไม่ต้องตั้งค่าแยก ส่วนต่างระหว่างพร็อกซีกับ VPN ที่ อธิบายไว้แล้ว ยังใช้ได้ เพียงแต่ MASQUE ทำให้เส้นแบ่งบางลงเพราะทั้งสองแบบใช้พื้นฐานเดียวกัน

ตัวอย่างตัวเลขเล็ก ๆ ช่วยให้เห็นภาพ สมมติแอปวิดีโอคอลหนึ่งส่งแพ็กเก็ต UDP ประมาณห้าสิบแพ็กเก็ตต่อวินาที หากใช้ CONNECT-UDP พร็อกซีรับดาตาแกรมเหล่านั้นแล้วส่งต่อไปยังเซิร์ฟเวอร์ของแอป เฉพาะสายนั้น แต่ถ้าใช้ CONNECT-IP ทราฟฟิกของเบราว์เซอร์ อีเมล และการอัปเดตระบบก็เข้าอุโมงค์เดียวกันด้วย เพราะพร็อกซีเห็นทั้งหมดเป็นแพ็กเก็ต IP ความแตกต่างนี้เองที่ทำให้ต้องอ่านรายละเอียดของผลิตภัณฑ์ให้ดีว่าคำว่า "MASQUE" หมายถึงแบบไหน

สรุป

MASQUE คือชุดมาตรฐานที่ทำอุโมงค์ให้สายข้อมูล UDP หรือแพ็กเก็ต IP ทั้งก้อนผ่านพร็อกซี HTTP/3 โดยใช้ QUIC เป็นการขนส่งและ TLS 1.3 เป็นความปลอดภัย จุดแข็งมาจากการใช้โครงสร้างพื้นฐานเว็บซ้ำ การยืนยันตัวตนที่ยืดหยุ่น และการรับมือเมื่อเครือข่ายเปลี่ยน ข้อจำกัดเหมือนอุโมงค์ VPN ทั่วไป คือผู้ดูแลยังเห็นปลายทางของคุณ ข้อจำกัดเรื่อง UDP อาจรบกวน และมันไม่ได้ทำให้คุณไม่เปิดเผยตัวตน ให้ตัดสินผลิตภัณฑ์จากข้อกำหนด การทดสอบ และความซื่อสัตย์ ไม่ใช่จากชื่อโปรโตคอลบนโบรชัวร์

หากอยากลองใช้ VPN บนอุปกรณ์ของคุณแบบเติมเงินที่เข้าใจง่าย หน้าราคา แสดงตัวเลือกที่มีอยู่