OpenVPN คืออะไร? TCP กับ UDP ต่างกันอย่างไร

OpenVPN เป็นหนึ่งในชื่อเก่าแก่ที่สุดที่คุณจะยังเห็นในหน้าตั้งค่าของแอป VPN มันเริ่มปรากฏตั้งแต่ต้นทศวรรษ 2000 เป็นโอเพนซอร์ส และถูกตรวจสอบ ใช้งานจริง และทดสอบหนักมานานกว่าตัวเลือกใหม่ ๆ ส่วนใหญ่ ถ้าคุณเคยเห็นไฟล์นามสกุล .ovpn หรือสวิตช์ที่เขียนว่า TCP กับ UDP แสดงว่าคุณเคยเจอมันแล้ว

บทความนี้อธิบายว่า OpenVPN ทำงานอย่างไรในทางปฏิบัติ ได้แก่สองช่องทางที่ซ่อนอยู่ในอุโมงค์เดียว เหตุผลที่การเลือก TCP หรือ UDP ทำให้ความรู้สึกตอนใช้งานต่างกัน คำว่า "ปลอดภัย" ของการตั้งค่า OpenVPN หมายถึงอะไรจริง ๆ และวิธีอ่านไฟล์ตั้งค่ากับแก้ปัญหาเมื่อเชื่อมต่อไม่ได้ เนื้อหาอธิบายโพรโทคอลในภาพรวม ไม่ได้บอกว่าบริการใดรองรับโพรโทคอลอะไร หากอยากเห็นภาพกว้างก่อน เริ่มที่ โพรโทคอล VPN คืออะไร

OpenVPN คืออะไรกันแน่

OpenVPN เป็นทั้งโพรโทคอลและซอฟต์แวร์ ตัวซอฟต์แวร์ทำงานบน Windows, macOS, Linux, Android, iOS และเราเตอร์หลายรุ่น ส่วนโพรโทคอลคือชุดกฎที่โปรแกรมเหล่านั้นใช้สร้างและใช้อุโมงค์เข้ารหัส มีสามลักษณะที่อธิบายพฤติกรรมส่วนใหญ่ของมัน

• ทำงานใน user space OpenVPN เป็นโปรแกรมธรรมดา ไม่ใช่ส่วนหนึ่งของแกนเครือข่ายในระบบปฏิบัติการ ทำให้พกพาและอัปเดตง่าย แต่ทุกแพ็กเก็ตต้องเดินทางระหว่างเคอร์เนลกับโปรแกรม ซึ่งเสียความเร็วไปบ้าง
• ใช้ TLS ซ้ำ แทนที่จะคิดกระบวนการจับมือใหม่ OpenVPN ยืมกลไก TLS ที่ปกป้องการท่องเว็บอยู่แล้ว TLS 1.3 อธิบายไว้ใน RFC 8446 และแนวคิดเรื่องใบรับรอง การตกลงกุญแจ และกุญแจเซสชันก็ใช้แบบเดียวกัน
• ปรับแต่งได้มาก พอร์ต การส่งข้อมูล อัลกอริทึม วิธียืนยันตัวตน และกฎการส่งทราฟฟิก ปรับได้ทั้งหมด ความยืดหยุ่นนี้เป็นจุดแข็งของผู้ดูแลระบบ แต่เป็นที่มาของความผิดพลาดสำหรับคนทั่วไป

เพราะสร้างจากชิ้นส่วนมาตรฐาน OpenVPN จึงไม่ใช่เวทมนตร์ มันทำงานเดียวกับโพรโทคอลอุโมงค์อื่น คือห่อแพ็กเก็ตด้วยการเข้ารหัส ส่งไปยังเซิร์ฟเวอร์ แล้วเซิร์ฟเวอร์ส่งต่อออกไป สิ่งที่ทำให้ต่างคือวิธีห่อและจำนวนปุ่มปรับที่เปิดให้

สองช่องทางในอุโมงค์เดียว

ภาพในใจที่มีประโยชน์ที่สุดคือ การเชื่อมต่อ OpenVPN จริง ๆ แล้วเป็นการสนทนาสองเรื่องที่เกิดขึ้นพร้อมกัน

ช่องควบคุม (control channel)

ช่องควบคุมทำหน้าที่ตั้งค่า เมื่อคุณกดเชื่อมต่อ ไคลเอนต์กับเซิร์ฟเวอร์จะทำ TLS handshake ต่างฝ่ายต่างพิสูจน์ตัวตน ส่วนใหญ่ด้วยการแสดงใบรับรอง และตกลงกุญแจใหม่ ที่นี่ยังเป็นจุดที่ตรวจชื่อผู้ใช้และรหัสผ่านของคุณ หากการตั้งค่าใช้อยู่ ช่องควบคุมทำงานต่อเนื่องอยู่เบื้องหลังและต่ออายุกุญแจเป็นระยะ กุญแจที่ถูกขโมยจึงมีอายุใช้งานจำกัด

หลายการตั้งค่าเพิ่มความลับร่วมอีกชั้นบนช่องนี้ มักเรียกว่าการห่อ TLS หรือกุญแจ TLS-crypt ซึ่งทำให้แพ็กเก็ตตอนจับมือดูเป็นสัญญาณรบกวนสำหรับคนที่ไม่รู้ความลับ และให้เซิร์ฟเวอร์ทิ้งความพยายามเชื่อมต่อที่ไม่ได้รับอนุญาตได้ด้วยต้นทุนต่ำ เป็นมาตรการเสริมความแข็งแรง ไม่ใช่สิ่งทดแทนใบรับรองที่ดี

ช่องข้อมูล (data channel)

ช่องข้อมูลขนส่งทราฟฟิกจริงของคุณ มันรับแพ็กเก็ต IP ทีละแพ็กเก็ต เข้ารหัสด้วยกุญแจที่ตกลงกันในช่องควบคุม เติมแท็กยืนยันความถูกต้องเพื่อให้ตรวจพบการแก้ไข แล้วส่งออกไป การตั้งค่าสมัยใหม่ใช้อัลกอริทึมแบบยืนยันความถูกต้องในตัว เช่น AES โหมด GCM หรือ ChaCha20-Poly1305 ซึ่งรวมการเข้ารหัสกับการตรวจความสมบูรณ์ไว้ในขั้นตอนเดียว

การแยกสองช่องมีประโยชน์ในทางปฏิบัติ งานยืนยันตัวตนที่ช้าและละเอียดเกิดขึ้นนาน ๆ ครั้ง ส่วนงานเร็วระดับแพ็กเก็ตทำงานต่อเนื่องด้วยกุญแจที่เปลี่ยนสม่ำเสมอ หากอยากรู้เรื่องการเข้ารหัสเพิ่ม การเข้ารหัสของ VPN คืออะไร อธิบายส่วนประกอบพื้นฐานไว้

TUN กับ TAP ส่งทราฟฟิกแบบเลือกเส้นทาง หรือแบบเชื่อมสะพาน

OpenVPN สร้างอะแดปเตอร์เครือข่ายเสมือนบนอุปกรณ์ของคุณ และมีสองแบบ

โหมด	สิ่งที่ส่ง	การใช้ทั่วไป	ต้นทุน
TUN	แพ็กเก็ต IP (ชั้น 3)	VPN สำหรับผู้ใช้ทั่วไปเกือบทั้งหมด การเข้าถึงระยะไกล การเชื่อมสาขา	เบา เส้นทางง่าย
TAP	เฟรม Ethernet (ชั้น 2)	ทำให้เครื่องที่อยู่ไกลดูเหมือนอยู่ในเครือข่ายเดียวกัน ซอฟต์แวร์เก่าที่พึ่งการกระจายสัญญาณ	ส่วนเกินมาก ทราฟฟิกมากกว่า ขยายขนาดยากกว่า

ถ้าเป้าหมายคือปกป้องทราฟฟิกบน Wi-Fi สาธารณะ คุณต้องการ TUN ส่วน TAP มีไว้สำหรับกรณีอย่างซอฟต์แวร์เก่าที่พึ่งการค้นหาแบบ broadcast หรือการต่อสองสาขาให้ทำงานเหมือนสวิตช์ตัวเดียว ผู้ใช้ตามบ้านแทบไม่ต้องเลือก และถ้าคู่มือไหนบอกให้เปลี่ยนเป็น TAP เพื่อ "เร่งความเร็ว" ให้สงสัยไว้ก่อน

TCP หรือ UDP ตัวเลือกที่เปลี่ยนความรู้สึกตอนใช้งาน

นี่คือการตัดสินใจที่คนสังเกตเห็นได้ ทั้งสองโหมดส่งข้อมูลเข้ารหัสชุดเดียวกัน สิ่งที่ต่างคือตัวขนส่งระหว่างคุณกับเซิร์ฟเวอร์

UDP ส่งแพ็กเก็ตโดยไม่รับประกันการส่งถึงหรือลำดับ ถ้าแพ็กเก็ตหาย อุโมงค์เองจะไม่ส่งซ้ำ ซึ่งไม่เป็นไร เพราะทราฟฟิกข้างในอุโมงค์ เช่นหน้าเว็บที่โหลดผ่าน TCP มีระบบกู้คืนของตัวเองอยู่แล้ว ชั้นเดียวรับผิดชอบเรื่องความเชื่อถือได้ และอุโมงค์เพิ่มความหน่วงน้อย

TCP รับประกันการส่งตามลำดับ อุโมงค์จึงส่งแพ็กเก็ตที่หายซ้ำ เมื่อทราฟฟิกของคุณเองก็เป็น TCP คุณจะได้สองชั้นที่ต่างพยายามกู้คืนการสูญหายเดียวกัน พอการเชื่อมต่อไม่ดี ตัวจับเวลาของสองชั้นขัดกัน ชั้นในส่งข้อมูลที่ชั้นนอกยังพยายามส่งซ้ำอยู่ และปริมาณงานอาจพังลง ปรากฏการณ์นี้เรียกกันว่า TCP meltdown และเป็นเหตุผลที่โหมด TCP รู้สึกอืดเมื่อสัญญาณอ่อน

ด้าน	OpenVPN ผ่าน UDP	OpenVPN ผ่าน TCP
ความเร็วบนเครือข่ายปกติ	มักดีกว่า	มักต่ำกว่าเล็กน้อย
เมื่อแพ็กเก็ตหาย	ลดคุณภาพแบบนุ่มนวล	อาจค้างหรือกระตุก
ความหน่วงสำหรับโทรและเกม	มักดีกว่า	มักแย่กว่า
ใช้ได้เมื่อเครือข่ายไม่ให้ผ่าน UDP	ไม่ได้	ได้
บทบาทโดยทั่วไป	ค่าเริ่มต้น	ทางสำรอง

กฎง่าย ๆ ที่ใช้ได้จริง

เริ่มที่ UDP ก่อน ถ้าเชื่อมต่อไม่สำเร็จเลย หรือหลุดซ้ำ ๆ บนเครือข่ายใดเครือข่ายหนึ่ง จึงลอง TCP ใช้ TCP เท่าที่เครือข่ายนั้นต้องการ แล้วกลับไปใช้ UDP ที่อื่น เครือข่ายบางแห่ง เช่นบางออฟฟิศ โรงเรียน และโรงแรม อนุญาตทราฟฟิกแค่ชุดแคบ ๆ ตามนโยบาย โหมด TCP บางครั้งเชื่อมต่อได้ที่นั่น แต่บทความนี้ไม่ได้สอนวิธีเลี่ยงข้อจำกัดที่เจ้าของเครือข่ายตั้งใจกำหนดไว้ หากเครือข่ายไม่อนุญาตทราฟฟิก VPN ทางตรงไปตรงมาคือถามผู้ดูแลเครือข่าย หรือใช้การเชื่อมต่ออื่น เช่นข้อมูลมือถือ

สถานการณ์สั้น ๆ

แอนทำงานที่โคเวิร์กกิงสเปซซึ่ง Wi-Fi ดี ด้วย UDP วิดีโอคอลของเธอไหลลื่นในอุโมงค์ วันหนึ่งเธอเดินทางไปพักเกสต์เฮาส์ที่เครือข่ายปล่อย UDP ผ่านไม่แน่นอน VPN เลยเชื่อมต่อไม่ได้ เธอสลับไปใช้ TCP จึงเชื่อมต่อได้ เปิดหน้าเว็บได้ แต่วิดีโอคอลสะดุด อาการสะดุดคือผลของการกู้คืนซ้อนสองชั้น เธอจึงใช้ TCP เฉพาะอีเมลและการท่องเว็บเบา ๆ ที่นั่น แล้วกลับไปใช้ UDP ที่ถัดไป เธอเลือกเครื่องมือให้เหมาะกับแต่ละสถานการณ์ แทนที่จะถือว่าการตั้งค่าใดดีกว่าเสมอ

คำว่า "ปลอดภัย" สำหรับการตั้งค่า OpenVPN หมายถึงอะไร

หลายคนถามว่า OpenVPN ปลอดภัยไหม ราวกับเป็นคุณสมบัติแบบใช่หรือไม่ใช่ของโพรโทคอล คำตอบที่ซื่อตรงคือ ดีไซน์ของโพรโทคอลแข็งแรงและมีผู้ตรวจสอบมาก ส่วนความปลอดภัยในทางปฏิบัติขึ้นกับการตั้งค่าของแต่ละการเชื่อมต่อ จุดที่ทำให้ได้หรือเสียมีดังนี้

1. การเลือกอัลกอริทึม อัลกอริทึมสมัยใหม่แบบยืนยันความถูกต้องในตัว เช่น AES-GCM และ ChaCha20-Poly1305 เป็นตัวเลือกที่สมเหตุสมผล ส่วนอัลกอริทึมเก่าที่คงไว้เพื่อความเข้ากันได้ โดยเฉพาะแบบบล็อก 64 บิต อ่อนกว่าและถูกทยอยเลิกในเวอร์ชันปัจจุบัน ถ้าการตั้งค่ายังระบุอัลกอริทึมโบราณ นั่นเป็นสัญญาณเตือนว่าดูแลไม่ดี
2. การตรวจใบรับรองเซิร์ฟเวอร์ ไคลเอนต์ต้องตรวจใบรับรองและชื่อของเซิร์ฟเวอร์ ถ้าไม่ตรวจ คนบนเครือข่ายอาจแกล้งเป็นเซิร์ฟเวอร์ได้ การตั้งค่าที่ดีทำให้ไคลเอนต์ตรวจเรื่องนี้เป็นค่าเริ่มต้น
3. อายุของกุญแจ กุญแจข้อมูลถูกต่ออายุเป็นประจำ เพื่อให้กุญแจหนึ่งรั่วแล้วเสียหายแค่บางส่วนของทราฟฟิก
4. การเสริมช่องควบคุม กุญแจห่อ TLS ลดความเสี่ยงจากการสแกนและความพยายามจับมือที่ไม่ได้รับอนุญาต
5. การอัปเดตซอฟต์แวร์ ทั้งไคลเอนต์และเซิร์ฟเวอร์ต้องอัปเดตอยู่เสมอ เพราะการแก้ช่องโหว่มีประโยชน์ต่อเมื่อถูกติดตั้ง
6. การบีบอัด การบีบอัดข้อมูลก่อนเข้ารหัสเคยถูกโยงกับการโจมตีในโพรโทคอลอื่น และแนวปฏิบัติปัจจุบันคือปิดไว้ การตั้งค่าที่เปิดมันควรถูกพิจารณาอีกครั้ง
7. การจัดการข้อมูลล็อกอิน ชื่อผู้ใช้และรหัสผ่านถูกตรวจผ่านช่องควบคุมที่ได้รับการปกป้อง แต่ตัวบัญชีปลอดภัยเท่ากับรหัสผ่านและปัจจัยที่สองที่อยู่เบื้องหลัง

ทั้งหมดนี้ไม่ได้แปลว่าการเชื่อมต่อด้วย OpenVPN จะเจาะไม่ได้ อุโมงค์ปกป้องทราฟฟิกระหว่างอุปกรณ์กับเซิร์ฟเวอร์ ไม่ได้หยุดมัลแวร์บนเครื่อง เว็บฟิชชิง หรือรหัสผ่านอ่อน ภาพรวมกว้างกว่านี้อยู่ใน สิ่งที่ VPN ปกป้องคุณไม่ได้

อ่านไฟล์ตั้งค่าของไคลเอนต์

ไคลเอนต์ OpenVPN มักทำงานจากไฟล์ข้อความนามสกุล .ovpn คุณไม่ต้องเขียนเอง แต่การอ่านบรรทัดหลัก ๆ ออกบอกอะไรได้มาก ตัวอย่างนี้ตั้งใจให้เป็นแบบทั่วไปด้วยค่าที่สมมติขึ้น

client
dev tun
proto udp
remote vpn.example.net 1194
resolv-retry infinite
nobind
remote-cert-tls server
cipher AES-256-GCM
auth SHA256
verb 3

ความหมายของแต่ละบรรทัดแบบภาษาคน

• client บอกว่าเครื่องนี้เป็นฝ่ายเชื่อมต่อออกไปหาเซิร์ฟเวอร์ ไม่ได้รอรับการเชื่อมต่อ
• dev tun เลือกอะแดปเตอร์เสมือนแบบ TUN ที่อธิบายไปแล้ว
• proto udp เลือกตัวขนส่ง ถ้าเปลี่ยนเป็น tcp คือโหมดสำรอง TCP
• remote ระบุชื่อเซิร์ฟเวอร์และพอร์ต พอร์ตเป็นเพียงป้ายกำกับ ไม่ได้เปลี่ยนวิธีที่การเข้ารหัสทำงาน
• resolv-retry infinite แปลว่าลองหาที่อยู่ของเซิร์ฟเวอร์ซ้ำเรื่อย ๆ หากเครือข่ายยังใช้ไม่ได้
• nobind ให้ไคลเอนต์ใช้พอร์ตภายในเครื่องใดก็ได้
• remote-cert-tls server ทำให้ไคลเอนต์ยืนยันว่าอีกฝั่งแสดงใบรับรองที่ออกมาสำหรับเซิร์ฟเวอร์ เป็นการป้องกันพื้นฐานจากการปลอมตัว
• cipher และ auth ระบุอัลกอริทึมของช่องข้อมูล
• verb กำหนดว่าบันทึกจะละเอียดแค่ไหน มีประโยชน์ตอนแก้ปัญหา

ไฟล์จริงยังมีใบรับรองและกุญแจ ทั้งแบบฝังในไฟล์หรือแยกไฟล์ ให้ถือไฟล์ .ovpn ที่มีข้อมูลล็อกอินหรือกุญแจเหมือนรหัสผ่าน อย่าโพสต์ในเว็บบอร์ดขอความช่วยเหลือ และลบสำเนาที่ไม่ใช้แล้ว เมื่อบริการให้แอปสำเร็จรูปแทนไฟล์ แอปจะสร้างค่าเหล่านี้ให้เอง และโดยปกติคุณไม่ควรแก้ ถ้าแอปมีการตั้งค่าโพรโทคอล ให้ใช้ค่าเริ่มต้น เว้นแต่ฝ่ายสนับสนุนแนะนำ

ประสิทธิภาพ MTU MSS และแกนประมวลผลเดียวที่ทำงานหนัก

มักมีคนบอกว่า OpenVPN ช้ากว่าโพรโทคอลใหม่ ๆ ซึ่งมีเหตุผลจริง และบางเรื่องคุณมีส่วนปรับได้

• การประมวลผลใน user space แต่ละแพ็กเก็ตต้องข้ามไปมาระหว่างเคอร์เนลกับโปรแกรม บนสายไฟเบอร์เร็วแต่ซีพียูธรรมดา อาจกลายเป็นคอขวด และ OpenVPN อาจใช้เพียงแกนเดียวต่ออุโมงค์หนึ่งเส้น
• ส่วนเกินของข้อมูล อุโมงค์เพิ่มส่วนหัว ซึ่งลดที่ว่างสำหรับข้อมูลในแต่ละแพ็กเก็ต ถ้าแพ็กเก็ตสุดท้ายใหญ่เกินที่เส้นทางรับได้ มันจะถูกแบ่งหรือทิ้ง วิธีค้นหาขนาดแพ็กเก็ตใหญ่สุดที่เส้นทางรับได้อธิบายไว้ใน RFC 1191
• MTU ไม่ตรงกัน อาการจะแปลก คือหน้าเว็บเล็กโหลดได้แต่ดาวน์โหลดใหญ่ค้าง หรือบางเว็บใช้ได้บางเว็บโหลดไม่จบ การลดขนาดแพ็กเก็ตของอุโมงค์ หรือจำกัดขนาดเซกเมนต์ TCP มักแก้ได้ ทีมสนับสนุนรู้จักค่านี้ ในฐานะผู้ใช้ คุณบอกอาการเหล่านี้เมื่อขอความช่วยเหลือได้
• ระยะทางและความหน่วง เซิร์ฟเวอร์ที่อยู่ไกลเพิ่มดีเลย์ไม่ว่าจะเลือกโพรโทคอลใด บทความของ Cloudflare อธิบายแนวคิดเรื่อง latency และ ทำไมความเร็วอินเทอร์เน็ตเปลี่ยนเมื่อใช้ VPN ครอบคลุมปัจจัยอื่น
• ต้นทุนการเข้ารหัส ฮาร์ดแวร์เร่ง AES ทำให้ GCM ถูกลงมากบนโทรศัพท์และคอมพิวเตอร์จำนวนมาก ส่วนอุปกรณ์ที่ไม่มีอาจทำงานได้ดีกว่าด้วย ChaCha20-Poly1305 โดยปกติคุณไม่ต้องเลือก ค่าเริ่มต้นถูกเลือกไว้เพื่อความเข้ากันได้

หากความเร็วคือเรื่องหลักและแอปของคุณมีตัวเลือกอื่น การลองโพรโทคอลอื่นเป็นการทดลองที่สมเหตุสมผล และ WireGuard กับ OpenVPN เทียบกันอย่างไร สรุปข้อแลกเปลี่ยนไว้

แก้ปัญหาเมื่อ OpenVPN เชื่อมต่อไม่ได้

ไล่จากง่ายไปเฉพาะเจาะจง เปลี่ยนทีละอย่างเพื่อให้รู้ว่าอะไรช่วยได้

1. ตรวจเครือข่ายก่อน เปิดหน้าเว็บโดยไม่ใช้ VPN ถ้าไม่โหลด แปลว่าปัญหาไม่ได้อยู่ที่ VPN
2. ยืนยันข้อมูลล็อกอิน พิมพ์ชื่อผู้ใช้หรือรหัสผ่านผิดคือสาเหตุที่พบบ่อยที่สุดของการเริ่มต้นไม่สำเร็จ คัดลอกจากหน้าบัญชีแทนการพิมพ์ใหม่
3. ตรวจวันและเวลา ใบรับรองใช้ได้เฉพาะในช่วงวันที่กำหนด อุปกรณ์ที่นาฬิกาผิดมากอาจปฏิเสธใบรับรองที่ปกติดี
4. รีสตาร์ตแอปและอุปกรณ์ ช่วยเคลียร์อะแดปเตอร์เสมือนที่ค้าง ซึ่งเป็นสาเหตุที่พบบ่อยบน Windows และ macOS
5. ลองเครือข่ายอื่น ถ้าใช้ได้บนข้อมูลมือถือแต่ไม่ได้บน Wi-Fi หนึ่ง Wi-Fi นั้นอาจกรองทราฟฟิกอยู่
6. สลับตัวขนส่งเมื่อแอปให้ทำได้เท่านั้น ถ้า UDP ล้มเหลวบนเครือข่ายหนึ่ง ลอง TCP ที่นั่น แล้วสลับกลับภายหลัง
7. ดูบันทึก บรรทัดเรื่อง TLS handshake ล้มเหลว ชี้ไปที่ทราฟฟิกถูกบล็อกหรือใบรับรองไม่ดี บรรทัดเรื่องการยืนยันตัวตนล้มเหลว ชี้ไปที่ข้อมูลล็อกอิน บรรทัดเรื่องใบรับรองไม่ถูกต้องหรือหมดอายุ ชี้ไปที่นาฬิกาหรือการตั้งค่าที่ล้าสมัย
8. อัปเดตแอป ไคลเอนต์เก่าอาจใช้กับเซิร์ฟเวอร์ที่เลิกการตั้งค่าล้าสมัยแล้วไม่ได้
9. ติดต่อฝ่ายสนับสนุนพร้อมรายละเอียด บอกว่าอุปกรณ์อะไร เครือข่ายไหน บันทึกบอกว่าอะไร และคุณลองอะไรไปแล้ว

คู่มือ VPN เชื่อมต่อไม่ได้ อธิบายวิธีแก้ระดับแอปไว้ละเอียดกว่านี้

ข้อจำกัดและสิ่งที่ควรระวัง

• OpenVPN เป็นวิธีสร้างอุโมงค์ ไม่ใช่การรับประกันความเป็นส่วนตัว สิ่งที่ผู้ให้บริการทำกับทราฟฟิกเมื่อออกจากอุโมงค์แล้วเป็นคำถามเรื่องความเชื่อใจ ไม่ใช่เรื่องโพรโทคอล
• ความยืดหยุ่นของมันหมายความว่าอาจมีการตั้งค่าแย่ ๆ ได้ ควรเลือกแอปสำเร็จรูปที่มีค่าเริ่มต้นเหมาะสม มากกว่าไฟล์ที่แก้เอง เว้นแต่คุณรู้ว่าแต่ละบรรทัดทำอะไร
• หมายเลขพอร์ตไม่ใช่ฟีเจอร์ความปลอดภัย การเปลี่ยนพอร์ตไม่ได้ทำให้การเข้ารหัสแข็งแรงขึ้น
• โหมด TCP เป็นเครื่องมือเพื่อความเข้ากันได้ ไม่ใช่การอัปเกรด
• ความเร็วขึ้นกับเซิร์ฟเวอร์ ระยะทาง อุปกรณ์ และเครือข่ายของคุณ อย่างน้อยพอ ๆ กับโพรโทคอล
• บทความนี้เป็นความรู้ทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย และไม่ได้อ้างว่าโพรโทคอลใดใช้ได้ในทุกเครือข่าย

สรุป

OpenVPN สร้างอุโมงค์เข้ารหัสจากสองช่องที่ทำงานร่วมกัน ช่องควบคุมใช้ TLS ยืนยันตัวตนและตกลงกุญแจ ส่วนช่องข้อมูลเข้ารหัสทีละแพ็กเก็ต UDP เป็นค่าเริ่มต้นที่ดีกว่า ส่วน TCP เป็นทางสำรองสำหรับเครือข่ายที่ UDP เชื่อมต่อไม่ได้ การตั้งค่าที่ปลอดภัยขึ้นกับอัลกอริทึมสมัยใหม่ การตรวจใบรับรองที่ถูกต้อง การต่ออายุกุญแจสม่ำเสมอ และซอฟต์แวร์ที่อัปเดต เมื่อเชื่อมต่อไม่ได้ ให้ไล่ตรวจเครือข่าย ข้อมูลล็อกอิน นาฬิกา ตัวขนส่ง และบันทึกตามลำดับ

หากอยากได้พาสที่ตั้งค่าได้ในไม่กี่นาทีและหมดอายุเอง ดูได้ที่ หน้าราคา และ หน้าดาวน์โหลด