Mesh VPN คืออะไร เชื่อมอุปกรณ์ของคุณเองอย่างปลอดภัย

คนส่วนใหญ่รู้จัก VPN ในรูปแบบเดียว คือแอปที่ส่งทราฟฟิกอินเทอร์เน็ตของคุณผ่านเซิร์ฟเวอร์ที่ผู้ให้บริการรัน แต่ยังมีเครื่องมืออีกตระกูลที่ชื่อคล้ายกันและมีจุดประสงค์ต่างกันมาก มักเรียกว่า mesh VPN, overlay network หรือเครือข่ายแบบ zero-config เครื่องมือเหล่านี้เชื่อมอุปกรณ์ของคุณเองเข้าด้วยกัน ทำให้โน้ตบุ๊กเข้าถึงเซิร์ฟเวอร์ที่บ้านได้ มือถือเปิดไฟล์บนเดสก์ท็อปได้ และทีมเล็ก ๆ ใช้เครื่องที่แชร์กันได้ราวกับอยู่ในเครือข่ายออฟฟิศเดียวกัน

เพราะใช้คำคล้ายกันและบางครั้งใช้เทคโนโลยีพื้นฐานเดียวกัน เครื่องมือ mesh จึงถูกปะปนกับ VPN สำหรับผู้ใช้ทั่วไป บทความนี้อธิบายว่า mesh VPN คืออะไร ประกอบด้วยส่วนใดบ้าง เกี่ยวข้องกับโปรโตคอลอย่าง WireGuard อย่างไร และเทียบกับ VPN ที่ใช้เพื่อความปลอดภัยบน Wi-Fi สาธารณะอย่างไร บทความนี้ไม่เอ่ยชื่อผลิตภัณฑ์ใด แนวคิดใช้ได้กับทั้งหมวดหมู่ และคุณใช้ประเมินเครื่องมือเฉพาะตัวใดก็ได้

สองงานที่ใช้คำเดียวกัน

คำว่า "VPN" ครอบคลุมสองเป้าหมายที่ต่างกันมาก

เป้าหมายแรก ปกป้องทราฟฟิกจากเครือข่ายที่ใช้อยู่ คุณอยู่บนเครือข่ายโรงแรมหรือคาเฟ่ และอยากให้การท่องเว็บเดินทางผ่านอุโมงค์เข้ารหัสไปยังเซิร์ฟเวอร์ที่คุณไว้ใจ แล้วเซิร์ฟเวอร์ส่งต่อไปยังอินเทอร์เน็ต เซิร์ฟเวอร์นั้นผู้ให้บริการเป็นคนรัน และสิ่งที่เว็บไซต์เห็นคือที่อยู่ของเซิร์ฟเวอร์ นี่คือ VPN สำหรับผู้ใช้ทั่วไปที่อธิบายไว้ในบทความ VPN คืออะไร

เป้าหมายที่สอง เข้าถึงเครื่องของคุณเอง คุณมีเซิร์ฟเวอร์ที่บ้าน โน้ตบุ๊กที่ทำงาน มือถือ และอาจมีคอมพิวเตอร์ที่ใช้ร่วมกันอีกสองสามเครื่อง คุณอยากให้เครื่องเหล่านี้คุยกันอย่างเป็นส่วนตัวและเชื่อถือได้ จากที่ไหนก็ได้ โดยไม่ต้องเปิดเผยบนอินเทอร์เน็ตสาธารณะ นั่นคืองานของ mesh VPN

ทั้งสองสร้างอุโมงค์เข้ารหัส แต่แบบแรก เซิร์ฟเวอร์ของผู้ให้บริการคือปลายทางของทราฟฟิก ส่วนแบบที่สอง ปลายทางคืออุปกรณ์อื่นของคุณเอง การปะปนสองอย่างนี้ทำให้คนคาดหวังสิ่งที่ผิดจากทั้งสองแบบ

"Mesh" หมายความว่าอย่างไรจริง ๆ

ใน VPN แบบดั้งเดิมที่เป็นฮับและก้านล้อ ทุกอุปกรณ์เชื่อมกับเกตเวย์กลางตัวเดียว และทราฟฟิกระหว่างสองอุปกรณ์ต้องผ่านเกตเวย์นั้น ส่วนใน mesh อุปกรณ์เชื่อมกันโดยตรงเมื่อทำได้ ลองนึกภาพว่าทุกอุปกรณ์เป็นจุด และมีเส้นระหว่างทุกคู่ที่ต้องคุยกัน

ข้อดีของโครงสร้าง mesh ได้แก่

• เส้นทางสั้นลง อุปกรณ์สองเครื่องในเมืองเดียวกันไม่ต้องส่งข้อมูลผ่านเกตเวย์ในอีกประเทศ
• ไม่มีคอขวดจุดเดียว เกตเวย์ไม่ต้องแบกทุกอย่าง
• ทนทาน ถ้าจุดหนึ่งออฟไลน์ จุดอื่นก็ยังติดต่อกันได้
• การกำหนดที่อยู่ง่าย แต่ละอุปกรณ์มักได้ที่อยู่ส่วนตัวคงที่ จึงเข้าถึงด้วยชื่อหรือตัวเลขได้ไม่ว่าจะอยู่ที่ใด

ข้อแลกเปลี่ยนคือต้องมีใครสักคนประสานงานกลุ่ม หาวิธีให้อุปกรณ์เจอและไว้ใจกัน และจัดการว่าใครเข้าได้ ตรงนี้เองที่ส่วนประกอบอื่นเข้ามา

ส่วนประกอบภายใน mesh VPN

แม้เครื่องมือจะต่างกัน ส่วนใหญ่สร้างจากส่วนประกอบชุดเดียวกัน

โปรโตคอลอุโมงค์เข้ารหัส

พื้นฐานที่สุด อุปกรณ์สองเครื่องต้องมีวิธีเข้ารหัสทราฟฟิกระหว่างกัน เครื่องมือ mesh สมัยใหม่จำนวนมากใช้ WireGuard ซึ่งเป็นโปรโตคอลขนาดเล็กและเร็วสำหรับสร้างอุโมงค์ในชั้นนี้ เอกสาร whitepaper ของ WireGuard อธิบายการออกแบบไว้ ส่วนเครื่องมืออื่นใช้โปรโตคอลต่างกัน โปรโตคอลจัดการเฉพาะตัวอุโมงค์ ดูเพิ่มเติมที่ โปรโตคอล VPN คืออะไร และ WireGuard กับ OpenVPN

ตัวตนและคีย์

แต่ละอุปกรณ์ต้องมีตัวตนทางการเข้ารหัส คือคู่คีย์ เพื่อให้เครื่องอื่นแยกจากผู้แอบอ้างได้ การตั้งค่าด้วยมือน่าเบื่อ เพราะทุกเครื่องต้องมีคีย์สาธารณะของเครื่องอื่นทั้งหมด เครื่องมือ mesh ทำสิ่งนี้อัตโนมัติโดยผูกตัวตนของอุปกรณ์กับการล็อกอินหรือขั้นตอนอนุมัติอุปกรณ์

บริการประสานงาน

นี่คือส่วนควบคุม โดยทั่วไปไม่ได้ขนข้อมูลของคุณ หน้าที่คือเก็บรายการอุปกรณ์ แจกจ่ายคีย์สาธารณะ บังคับใช้กฎการเข้าถึง และช่วยให้อุปกรณ์หากันเจอ อาจเป็นบริการที่มีคนโฮสต์ให้ หรือบริการที่คุณรันเอง ซึ่งคือความหมายของเซิร์ฟเวอร์ประสานงานแบบโฮสต์เอง การรันเองให้คุณควบคุมได้ว่าข้อมูลสมาชิกอยู่ที่ไหน แต่คุณต้องรับผิดชอบการติดตั้ง อัปเดต และความปลอดภัย

การหาเส้นทางเชื่อมต่อ (NAT traversal)

อุปกรณ์ที่บ้านส่วนใหญ่อยู่หลังเราเตอร์ที่ทำ network address translation โดยใช้ที่อยู่ส่วนตัวตามที่อธิบายใน RFC 1918 อุปกรณ์สองเครื่องแบบนี้โทรหากันตรง ๆ ไม่ได้ เครื่องมือ mesh ใช้เทคนิคเจาะผ่านเพื่อให้เกิดการเชื่อมต่อโดยตรงโดยที่คุณไม่ต้องเปิดพอร์ตเอง เมื่อไม่มีเส้นทางตรง เช่น บนเครือข่ายที่เข้มงวด ทราฟฟิกอาจถอยไปใช้รีเลย์ที่ส่งต่อแพ็กเก็ตที่เข้ารหัสแล้ว

กฎการเข้าถึง

เมื่ออุปกรณ์เชื่อมกันแล้ว คุณกำหนดได้ว่าใครเข้าถึงอะไร เครื่องมือที่ดีให้คุณระบุได้ว่าโน้ตบุ๊กเข้าถึงเซิร์ฟเวอร์ไฟล์ได้แต่เข้าเครื่องพิมพ์ไม่ได้ หรืออุปกรณ์ของแขกเข้าถึงได้แค่เครื่องเดียว สิ่งนี้สำคัญ เพราะเครือข่ายแบนที่ทุกอย่างเข้าถึงทุกอย่างได้ คือเป้าหมายที่ใหญ่กว่า

Mesh VPN ต่างจากโปรโตคอลเปล่าอย่างไร

มักได้ยินการเทียบอย่าง "เครื่องมือ mesh กับ WireGuard" ซึ่งไม่ใช่ทางเลือกที่แทนกันจริง ๆ WireGuard เป็นโปรโตคอล ให้ท่อเข้ารหัสระหว่างสองปลายทางที่ตั้งค่าไว้ ส่วนเครื่องมือ mesh เป็นระบบที่สร้างรอบโปรโตคอล โดยเพิ่มสิ่งที่ท่อไม่มี

คำถาม	WireGuard ที่ตั้งเอง	เครื่องมือ mesh ที่สร้างบนโปรโตคอล
ใครจัดการคีย์	คุณ ด้วยมือ	บริการประสานงาน
เพิ่มอุปกรณ์	แก้คอนฟิกทั้งสองฝั่ง	ล็อกอินหรืออนุมัติอุปกรณ์
ใช้งานหลังเราเตอร์บ้าน	ต้องเปิดพอร์ตหรือมีปลายทางสาธารณะ	มักใช้ได้โดยไม่ต้องตั้งพอร์ต
กฎการเข้าถึง	เท่าที่คุณเขียนในคอนฟิก	มีฟีเจอร์นโยบายในตัว
การควบคุมและความโปร่งใส	เต็มที่ ส่วนเคลื่อนไหวน้อย	ขึ้นกับเครื่องมือและผู้โฮสต์
ทักษะที่ต้องมี	ปานกลางถึงสูง	ต่ำถึงปานกลาง

ถ้าคุณชอบเรียนรู้ว่าสิ่งต่าง ๆ ทำงานอย่างไรและอยากได้ส่วนเคลื่อนไหวน้อย โปรโตคอลที่ตั้งค่าด้วยมือเป็นครูที่ดี ถ้าอยากความสะดวกสำหรับหลายอุปกรณ์ เครื่องมือ mesh ประหยัดเวลา ไม่ว่าแบบไหน คุณต้องรับผิดชอบการตัดสินใจที่ VPN ทั่วไปตัดสินให้คุณ

การประสานงานแบบโฮสต์หรือโฮสต์เอง

บริการประสานงานเป็นส่วนที่อ่อนไหว ใครเป็นผู้รันจึงควรคิดให้ดี

โฮสต์โดยผู้อื่น คนอื่นรันให้ ตั้งค่าง่าย มีคนดูแลอัปเดต และใช้ได้โดยไม่ต้องลงแรง แลกกับการที่คุณไว้ใจบริษัทนั้นกับรายการอุปกรณ์ การแจกจ่ายคีย์ และกฎการเข้าถึง ควรอ่านว่าเขาอธิบายการจัดการข้อมูลอย่างไร

โฮสต์เอง คุณรันบนเซิร์ฟเวอร์ที่คุณควบคุม คุณตัดสินใจว่าข้อมูลอยู่ที่ไหนและใครเป็นผู้ดูแล แลกกับการรับผิดชอบการติดตั้ง การอัปเกรด การสำรองข้อมูล การเฝ้าระวัง และความปลอดภัย การลืมอัปเดตเซิร์ฟเวอร์ที่เข้าถึงได้จากอินเทอร์เน็ตเป็นความเสี่ยงจริง การโฮสต์เองเป็นทางเลือกที่ดีสำหรับคนที่มีเวลาและสนใจ แต่ไม่ดีหากกลายเป็นงานที่คุณละเลย

ไม่มีทางไหนดีกว่าโดยรวม คำตอบที่ถูกขึ้นกับว่าคุณให้ค่าความสะดวกเทียบกับการควบคุมมากแค่ไหน และพร้อมดูแลรักษาเพียงใด

Mesh VPN เทียบกับ VPN สำหรับผู้ใช้ทั่วไป

นี่คือการเปรียบเทียบที่ผู้อ่านส่วนใหญ่ต้องการจริง ๆ

คำถาม	Mesh VPN	VPN สำหรับผู้ใช้ทั่วไป
จุดประสงค์หลัก	เชื่อมอุปกรณ์ของคุณเอง	ส่งทราฟฟิกผ่านเซิร์ฟเวอร์ของผู้ให้บริการ
อีกฝั่งคือใคร	เครื่องของคุณเอง	เซิร์ฟเวอร์ของผู้ให้บริการ
เว็บไซต์เห็นอะไร	ที่อยู่ปกติของคุณ เว้นแต่ส่งทราฟฟิกผ่านอุปกรณ์ออก	ที่อยู่ของเซิร์ฟเวอร์ VPN
ปกป้องการท่องเว็บบน Wi-Fi สาธารณะ	ไม่ใช่โดยค่าเริ่มต้น	ใช่ นั่นคือการใช้งานหลัก
การตั้งค่า	ต้องมีขั้นตอนเทคนิคบ้าง	ติดตั้งแอปแล้วล็อกอิน
คุณต้องไว้ใจใคร	บริการประสานงานและอุปกรณ์ของคุณเอง	ผู้ให้บริการ VPN
รูปแบบค่าใช้จ่าย	มักมีแพ็กเกจฟรีหรือแผนสำหรับทีม	สมาชิกรายเดือนหรือพาสเติมเงิน

สังเกตแถวที่สาม เครือข่าย mesh ให้อุปกรณ์ของคุณมีที่อยู่ส่วนตัวและเส้นทางระหว่างกัน แต่ไม่เปลี่ยนสิ่งที่เว็บไซต์เห็น เว้นแต่คุณตั้งอุปกรณ์เครื่องหนึ่งเป็นจุดออกสำหรับทราฟฟิกอินเทอร์เน็ตด้วย ซึ่งทำได้กับบางเครื่องมือ แต่ต้องระวังมากกว่าการติดตั้งแอปทั่วไป และเป็นภาระของคุณที่ต้องทำให้อุปกรณ์จุดออกนั้นปลอดภัยและออนไลน์อยู่เสมอ

เมื่อไรที่ mesh VPN เหมาะ

• เซิร์ฟเวอร์ที่บ้านหรือ NAS คุณอยากเข้าถึงไฟล์หรือมีเดียจากที่ไหนก็ได้ โดยไม่เปิดเซิร์ฟเวอร์ให้อินเทอร์เน็ตเห็น
• เข้าถึงเครื่องที่ทำงานจากระยะไกล คนเดียวหรือทีมเล็กต้องล็อกอินเข้าคอมพิวเตอร์ที่ใช้ร่วมกัน แนวทางอย่างเอกสารของ NIST เรื่องความปลอดภัยของการทำงานทางไกลเน้นการจำกัดว่าใครเข้าถึงอะไรได้ และการอัปเดตระบบเข้าถึงระยะไกลให้ทันสมัย ซึ่งเครื่องมือ mesh ช่วยได้ทั้งสองข้อ
• นักพัฒนาและคนที่ชอบทดลอง เชื่อมเครื่องทดสอบ บอร์ด Raspberry Pi หรืออินสแตนซ์คลาวด์เป็นเครือข่ายส่วนตัวเดียว
• ช่วยดูแลไอทีให้ครอบครัว ช่วยแก้คอมพิวเตอร์ของญาติจากระยะไกลเมื่อทั้งสองเครื่องลงทะเบียนไว้
• แทนการทำ port forwarding ใครที่เคยเปิดพอร์ตบนเราเตอร์บ้านแล้วกังวล มีเหตุผลชัดที่จะดูหมวดหมู่นี้

เมื่อไรที่ VPN สำหรับผู้ใช้ทั่วไปเป็นเครื่องมือที่ดีกว่า

• Wi-Fi สาธารณะ คุณอยากให้การท่องเว็บได้รับการป้องกันบนเครือข่ายคาเฟ่ โรงแรม หรือสนามบิน
• การเดินทาง คุณอยากเปิดแอปบนมือถือแล้วใช้งานต่อได้เลย
• ไม่อยากยุ่งกับเทคนิค คุณไม่ต้องการรันเซิร์ฟเวอร์หรือจัดการคีย์
• ไม่มีอุปกรณ์ที่จะทำหน้าที่เป็นจุดออกของคุณเอง เครือข่าย mesh ต้องมีเครื่องของคุณเองอยู่อีกฝั่ง ส่วน VPN สำหรับผู้ใช้ทั่วไปมีให้พร้อมแล้ว

หลายคนจบลงที่การใช้ทั้งสองแบบ คือ mesh เพื่อเข้าเครื่องที่บ้านและที่ทำงาน และ VPN สำหรับผู้ใช้ทั่วไปบนเครือข่ายที่ไม่ไว้ใจ ทั้งสองแก้ปัญหาต่างกันและไม่ขัดกัน

นิสัยด้านความปลอดภัยสำหรับเครือข่าย mesh ทุกแบบ

ถ้าคุณตัดสินใจสร้างเอง กฎไม่กี่ข้อช่วยให้ปลอดภัย

1. ปกป้องบัญชีที่ควบคุมเครือข่าย ล็อกอินนั้นเพิ่มอุปกรณ์ได้ จึงควรใช้รหัสผ่านที่แข็งแรงไม่ซ้ำ และการยืนยันตัวตนหลายขั้นตอน
2. อนุมัติอุปกรณ์อย่างตั้งใจ ลบอุปกรณ์ที่คุณไม่ได้ใช้แล้วหรือไม่รู้จัก
3. ใช้กฎการเข้าถึง อนุญาตเฉพาะการเชื่อมต่อที่ต้องการจริง
4. อัปเดตทุกอย่าง ทั้งเครื่องมือ ระบบปฏิบัติการ และทุกอย่างที่คุณเปิดผ่านมัน
5. อย่าเปิดมากกว่าที่จำเป็น จุดประสงค์คือเข้าถึงเครื่องเฉพาะตัว ไม่ใช่เปิดเครือข่ายบ้านทั้งหมด
6. เข้าใจรีเลย์ของคุณ ถ้ามีการใช้รีเลย์ ให้รู้ว่ามันส่งต่อแพ็กเก็ตที่เข้ารหัสแล้ว และอ่านว่าเครื่องมืออธิบายเรื่องนี้อย่างไร
7. มีแผนกู้คืน ถ้าคุณเสียบัญชีหรือเซิร์ฟเวอร์ที่โฮสต์เอง จะกลับเข้าไปได้อย่างไร

ความเข้าใจผิดที่พบบ่อย

• "mesh VPN ทำให้ฉันเป็นนิรนาม" ไม่ใช่ มันเชื่อมอุปกรณ์ของคุณ ไม่ได้ซ่อนตัวคุณจากเว็บไซต์หรือจากคนที่รันบริการประสานงาน
• "มันแทน VPN ของฉันบน Wi-Fi สาธารณะได้" ได้ก็ต่อเมื่อคุณตั้งอุปกรณ์จุดออกและยอมรับงานที่ตามมา
• "WireGuard เป็นผลิตภัณฑ์" เป็นโปรโตคอล ส่วนผลิตภัณฑ์ mesh เป็นอีกชั้นที่สร้างรอบมัน
• "โฮสต์เองแปลว่าปลอดภัย" แปลว่าคุณรับผิดชอบ ความปลอดภัยขึ้นกับการดูแลรักษา
• "อุปกรณ์เยอะขึ้นเสี่ยงขึ้น" ไม่จำเป็น ถ้ากฎการเข้าถึงรัดกุม เครือข่ายแบนที่ไม่มีกฎต่างหากที่เสี่ยง

XPASS อยู่ตรงไหน

XPASS ไม่ใช่ mesh VPN XPASS ขายพาส VPN แบบเติมเงินที่มีจำนวนวันแน่นอน จ่ายครั้งเดียวด้วยบัตรผ่าน Stripe และไม่มีการต่ออายุอัตโนมัติ พาสมีไว้สำหรับงานแรกที่อธิบายข้างต้น คือปกป้องการเชื่อมต่อของคุณเองบนเครือข่ายที่คุณควบคุมไม่ได้ ข้อมูลล็อกอินและวิธีตั้งค่าจะอยู่ในหน้า My Pass หลังชำระเงิน และคุณเชื่อมต่อด้วยแอป VPNclient ฟรีบน iOS, Android, Windows หรือ macOS หากความต้องการของคุณคือเข้าถึงคอมพิวเตอร์ของตัวเองจากระยะไกล เครื่องมือ mesh คือหมวดหมู่ที่ถูก ส่วนการเดินทางและเครือข่ายสาธารณะ ดูหน้า VPN สำหรับทำงานระยะไกล

สรุป

Mesh VPN เชื่อมอุปกรณ์ของคุณเองโดยตรงเป็นเครือข่ายส่วนตัว โดยใช้โปรโตคอลอุโมงค์เข้ารหัส ตัวตนของอุปกรณ์ บริการประสานงาน เทคนิคหาเส้นทางเชื่อมต่อ และกฎการเข้าถึง ไม่เหมือนโปรโตคอลอย่าง WireGuard ที่เป็นเพียงอุโมงค์ และไม่เหมือน VPN สำหรับผู้ใช้ทั่วไปที่ส่งทราฟฟิกผ่านเซิร์ฟเวอร์ของผู้ให้บริการเพื่อใช้เครือข่ายที่ไม่ไว้ใจได้ปลอดภัยขึ้น เลือกเครื่องมือ mesh เมื่อต้องการเข้าถึงเครื่องของตัวเอง เลือก VPN สำหรับผู้ใช้ทั่วไปสำหรับ Wi-Fi สาธารณะและการเดินทาง และซื่อสัตย์กับตัวเองว่ายอมรับการตั้งค่าและการดูแลรักษาได้แค่ไหน ไม่ว่าใช้แบบไหน ให้ปกป้องบัญชีที่ควบคุมมัน และอัปเดตทุกอย่างเสมอ

หากพาสสั้นแบบเรียบง่ายเหมาะกับการเดินทางหรือใช้เครือข่ายสาธารณะของคุณ หน้าราคา แสดงสิ่งที่มีอยู่ และบทความ VPN ทำงานอย่างไร อธิบายพื้นฐานเบื้องหลัง