Remote Access VPN คืออะไร? ใช้กับงานระยะไกลอย่างไร

เมื่อบริษัทย้ายงานบางส่วนออกจากสำนักงาน คำถามหนึ่งจะตามมาทันที พนักงานจะเข้าถึงไฟล์ ระบบ และเครื่องมือที่เคยใช้ได้เฉพาะในอาคารได้อย่างไร คำตอบแบบดั้งเดิมคือ Remote Access VPN เป็นหนึ่งในเทคโนโลยีเครือข่ายสำหรับธุรกิจที่ใช้กันแพร่หลายที่สุด และเป็นหนึ่งในสิ่งที่ถูกเข้าใจผิดมากที่สุดเช่นกัน เพราะคำว่า "VPN" ถูกใช้เรียกของที่ต่างกันมาก

บทความนี้อธิบายว่า Remote Access VPN คืออะไร การเชื่อมต่อทำงานอย่างไรตั้งแต่ล็อกอินจนล็อกเอาต์ ธุรกิจต้องมีส่วนประกอบอะไร ต่างจาก VPN สำหรับผู้บริโภคและ Site-to-Site VPN อย่างไร การออกแบบข้อไหนสำคัญ และจะนำไปใช้อย่างไรให้ไม่มีเรื่องเซอร์ไพรส์ เขียนสำหรับเจ้าของกิจการและเจ้าหน้าที่ไอทีที่กำลังประเมินแนวคิดนี้ ไม่ใช่สำหรับคนที่หาเครื่องมือความเป็นส่วนตัวส่วนบุคคล

Remote Access VPN ทำอะไร

Remote Access VPN ให้คนที่อยู่นอกสำนักงานมีเส้นทางที่ป้องกันแล้วเข้าสู่เครือข่ายส่วนตัว ผู้ใช้ติดตั้งหรือเปิดไคลเอนต์บนโน้ตบุ๊กหรือมือถือ ไคลเอนต์ติดต่อเกตเวย์ที่บริษัทดูแล พิสูจน์ว่าผู้ใช้คือใคร และสร้างอุโมงค์เข้ารหัส เมื่ออุโมงค์พร้อม อุปกรณ์เข้าถึงทรัพยากรภายใน เช่น เซิร์ฟเวอร์ไฟล์ เว็บภายใน ฐานข้อมูล หรือรีโมตเดสก์ท็อป ได้ราวกับเสียบสายในออฟฟิศ ภายใต้ขอบเขตที่บริษัทกำหนด

คุณค่าหลักเรียบง่าย ระบบส่วนตัวไม่ต้องเปิดสู่อินเทอร์เน็ตทั้งหมด แทนที่จะเปิดทุกบริการภายใน บริษัทเปิดจุดเข้าที่ดูแลอย่างระมัดระวังเพียงจุดเดียว และทุกอย่างที่เหลืออยู่หลังจุดนั้น

แนวทางของ NIST เรื่องการทำงานระยะไกลและความปลอดภัยของการเข้าถึงระยะไกล อธิบายแนวคิดเดียวกัน คือปกป้องเส้นทางเข้าระยะไกล มองอุปกรณ์ปลายทางเป็นส่วนหนึ่งของความเสี่ยง และจัดการว่าใครเชื่อมต่อได้ พูดง่าย ๆ มีสามอย่างที่ต้องปกป้อง คือ การเชื่อมต่อ ระหว่างผู้ใช้กับเกตเวย์ ตัวตน ของผู้ใช้ และ อุปกรณ์ ที่ใช้

ส่วนประกอบที่ต้องมี

ระบบที่ใช้งานได้จริงมีมากกว่าซอฟต์แวร์ไคลเอนต์ นี่คือส่วนประกอบทั่วไป

ส่วนประกอบ	หน้าที่	สิ่งที่ต้องตัดสินใจ
ซอฟต์แวร์ไคลเอนต์	รันบนเครื่องพนักงานและสร้างอุโมงค์	ต้องรองรับระบบปฏิบัติการใดบ้าง ติดตั้งและอัปเดตอย่างไร
เกตเวย์ (concentrator)	จุดเข้าของบริษัทที่รับการเชื่อมต่อ	ซอฟต์แวร์หรือฮาร์ดแวร์ วางที่ไหน รองรับผู้ใช้กี่คน
การยืนยันตัวตน	พิสูจน์ว่าใครกำลังเชื่อมต่อ	รหัสผ่านอย่างเดียวอ่อนแอ ควรใช้หลายปัจจัย
ระบบไดเรกทอรีหรือข้อมูลตัวตน	เก็บผู้ใช้และกลุ่ม	กลุ่มไหนเข้าถึงระบบใดได้
กฎการเข้าถึง	กำหนดทรัพยากรภายในที่ผู้ใช้เข้าได้	เข้าได้ทั้งเครือข่ายหรือเฉพาะบางแอปพลิเคชัน
การบันทึกและการเฝ้าติดตาม	บันทึกการเชื่อมต่อและความล้มเหลว	ใครตรวจบันทึก และเก็บนานแค่ไหน
กระบวนการสนับสนุน	จัดการบัญชีล็อก อุปกรณ์ใหม่ และคนที่ลาออก	พนักงานโทรหาใครเมื่อใช้ไม่ได้

สังเกตว่าส่วนใหญ่เป็นเรื่องของคนและกระบวนการมากกว่าเทคโนโลยี VPN ที่เข้ารหัสแข็งแรงแต่ไม่มีกระบวนการตัดสิทธิ์คนที่ลาออก ยังมีรูโหว่อยู่ตรงกลาง

การเชื่อมต่อทำงานอย่างไร ทีละขั้น

ความเข้าใจลำดับขั้นช่วยแก้ปัญหาและตัดสินใจเลือก

1. ไคลเอนต์เริ่มทำงาน ผู้ใช้เปิดไคลเอนต์ หรือมันเริ่มเองพร้อมเครื่อง
2. ติดต่อเกตเวย์ ไคลเอนต์เชื่อมไปยังที่อยู่สาธารณะของบริษัท
3. เกตเวย์พิสูจน์ตัวเอง ใบรับรองหรือกุญแจช่วยให้ไคลเอนต์ตรวจได้ว่านี่คือเกตเวย์ของบริษัทจริง ไม่ใช่ของปลอม
4. ผู้ใช้ยืนยันตัวตน โดยทั่วไปคือชื่อผู้ใช้และรหัสผ่านพร้อมปัจจัยที่สอง เช่น รหัสจากแอป authenticator หรือการอนุมัติบนมือถือ คำแนะนำของ CISA เรื่องการยืนยันตัวตนที่แข็งแรงขึ้นอธิบายว่าทำไมปัจจัยที่สองสำคัญมาก
5. อาจมีการตรวจอุปกรณ์ บางระบบตรวจว่าอุปกรณ์อัปเดต เข้ารหัสดิสก์ หรืออยู่ในการจัดการก่อนให้เข้า
6. สร้างอุโมงค์ ข้อมูลถูกเข้ารหัสด้วยโปรโตคอลอย่าง IPsec ซึ่งอธิบายในคู่มือ IPsec VPN ของ NIST หรือโปรโตคอล VPN อื่น ๆ บทความ โปรโตคอล VPN คืออะไร ครอบคลุมแนวคิดทั่วไป
7. ผู้ใช้ได้รับที่อยู่ภายในและเส้นทาง เกตเวย์บอกไคลเอนต์ว่าปลายทางใดต้องส่งผ่านอุโมงค์
8. กฎจำกัดการเข้าถึง ผู้ใช้เข้าได้เฉพาะระบบที่บทบาทของตนอนุญาต
9. เซสชันสิ้นสุด เมื่อล็อกเอาต์ หมดเวลา หรือขาดการเชื่อมต่อ อุโมงค์ปิดและการเข้าถึงสิ้นสุด

ทุกขั้นอาจล้มเหลว และความล้มเหลวแต่ละแบบมีอาการที่จำได้ จึงควรมีคู่มือแก้ปัญหาสั้น ๆ สำหรับพนักงานเป็นส่วนหนึ่งของการนำไปใช้

Full Tunnel หรือ Split Tunnel

การตัดสินใจออกแบบที่ใหญ่ที่สุดรองจากการยืนยันตัวตนคือข้อมูลชนิดใดผ่านอุโมงค์

• Full tunnel ข้อมูลทั้งหมดจากอุปกรณ์ผ่านเกตเวย์ของบริษัท รวมถึงการท่องเว็บทั่วไป บริษัทตรวจและกรองได้ทุกอย่าง และอุปกรณ์ทำงานเหมือนอยู่ในออฟฟิศ ข้อเสียคือภาระบนเกตเวย์มากขึ้น และวิดีโอคอลหรือบริการคลาวด์ช้าลง
• Split tunnel เฉพาะข้อมูลที่ไปยังระบบของบริษัทผ่าน VPN ที่เหลือไปอินเทอร์เน็ตโดยตรง ประหยัดแบนด์วิดท์และเร็วขึ้น แต่บริษัทมองเห็นสิ่งที่อุปกรณ์ทำที่อื่นได้น้อยลง อุปกรณ์เองจึงต้องเชื่อถือได้
• Split แบบเลือก ทางสายกลาง คือบริการคลาวด์หรือแอปวิดีโอบางตัวไปตรง ส่วนระบบภายในและบริการอ่อนไหวผ่านอุโมงค์

อ่านแนวคิดทั่วไปได้ที่ split tunneling คืออะไร สำหรับธุรกิจ คำถามคือความเสี่ยงเทียบกับความจุ ถ้าพนักงานจัดการข้อมูลที่มีกฎกำกับหรืออ่อนไหวมาก full tunnel ป้องกันได้ง่ายกว่า ถ้าพนักงานใช้เวลาทั้งวันกับวิดีโอคอลและเครื่องมือคลาวด์ split tunnel ที่วางแผนดีใช้งานง่ายกว่า

การยืนยันตัวตนคือส่วนที่ตัดสินความสำเร็จ

Remote Access VPN คือประตูเข้าเครือข่ายของคุณ และประตูต้องมีกุญแจที่ดี เหตุการณ์ที่เกี่ยวกับการเข้าถึงระยะไกลส่วนใหญ่เริ่มจากรหัสผ่านที่ถูกขโมยหรือเดา

• บังคับใช้การยืนยันตัวตนหลายปัจจัยกับทุกคน รหัสจากแอปหรือกุญแจฮาร์ดแวร์ดีกว่าข้อความ SMS เมื่อจัดการได้
• ใช้บัญชีรายบุคคล บัญชีที่ใช้ร่วมกันทำให้ไม่รู้ว่าใครทำอะไร และถอดสิทธิ์คนเดียวไม่ได้
• ผูกบัญชีกับรายชื่อพนักงาน เมื่อใครลาออก สิทธิ์ VPN ควรสิ้นสุดภายในชั่วโมงเดียวกัน
• จำกัดการลองซ้ำและเฝ้าดูความล้มเหลว ความล้มเหลวซ้ำ ๆ จากบัญชีเดียวคือสัญญาณ ไม่ใช่ความรำคาญ
• ใช้ใบรับรองหรือตรวจอุปกรณ์เมื่อทำได้ การรู้ว่าอุปกรณ์เป็นของบริษัทเป็นสัญญาณที่แรง

บทความ การยืนยันตัวตนสองชั้น อธิบายพื้นฐาน และแนวทางของ NIST เรื่องการทำงานระยะไกลวางการยืนยันตัวตนไว้ใกล้ลำดับแรกของคำแนะนำ

Remote Access VPN เทียบกับสิ่งอื่นที่อาจได้ยิน

คำนี้มักปนกับของใกล้เคียงหลายอย่าง ตารางสั้น ๆ ช่วยเมื่อเปรียบเทียบใบเสนอราคาหรืออ่านหน้าของผู้ขาย

ตัวเลือก	เชื่อมอะไร	เหมาะกับ	ข้อจำกัด
Remote Access VPN	ผู้ใช้หรืออุปกรณ์หนึ่งเครื่องเข้ากับเครือข่ายบริษัท	พนักงานเข้าระบบภายใน	เข้าถึงกว้างถ้ากฎหลวม
Site-to-Site VPN	เครือข่ายสองแห่ง เช่น สองสำนักงาน	สาขาที่ใช้ระบบร่วมกัน	ไม่ช่วยคนที่ทำงานที่บ้านด้วยตัวเอง
แอป VPN สำหรับผู้บริโภค	อุปกรณ์หนึ่งเครื่องกับเซิร์ฟเวอร์ของผู้ให้บริการ	ความเป็นส่วนตัวบน Wi-Fi สาธารณะ	ไม่ให้เข้าระบบของบริษัท
Zero trust access	ผู้ใช้ไปยังแอปพลิเคชันเฉพาะหลังการตรวจ	ทีมที่พัฒนาแล้วและใช้แอปบนคลาวด์	ต้องวางแผนและทำงานด้านตัวตนมากกว่า
Remote desktop gateway	ผู้ใช้ไปยังเครื่องเดียว	เข้าพีซีในออฟฟิศเครื่องเดียว	แคบ และเกตเวย์ยังต้องได้รับการป้องกัน

VPN ธุรกิจกับ VPN ส่วนตัวแก้ปัญหาต่างกัน บทความ VPN ธุรกิจเทียบกับ VPN ส่วนตัว อธิบายไว้ ถ้ากำลังพิจารณาแนวทางใหม่ที่ตรวจทุกคำขอแทนการเชื่อใจเครือข่าย อ่าน Zero Trust เทียบกับ VPN เอกสารสถาปัตยกรรม zero trust ของ NIST อธิบายโมเดลนี้ ในทางปฏิบัติ หลายองค์กรใช้ VPN และเพิ่มการควบคุมแบบ zero trust ทีละน้อย แทนที่จะเปลี่ยนจากอย่างหนึ่งเป็นอีกอย่างในคืนเดียว

แผนนำไปใช้ที่เป็นจริง

การนำไปใช้ที่ดีนั้นน่าเบื่อ นี่คือลำดับที่ใช้ได้กับธุรกิจขนาดเล็กถึงกลาง

1. ทำรายการสิ่งที่คนต้องเข้าถึงจริง เซิร์ฟเวอร์ไฟล์ ระบบบัญชี เว็บภายใน แล้วไม่มีอย่างอื่นใช่ไหม คำตอบกำหนดรูปแบบทั้งหมด
2. เลือกโมเดล เกตเวย์บนไฟร์วอลล์ บริการที่โฮสต์บนคลาวด์ หรือผู้ให้บริการที่ดูแลให้ ตัดสินใจว่าใครจะเป็นคนดูแล
3. ตั้งค่าตัวตนก่อน ทำความสะอาดรายชื่อผู้ใช้ สร้างกลุ่ม และเปิดการยืนยันตัวตนหลายปัจจัยก่อนมีใครเชื่อมต่อ
4. กำหนดกฎการเข้าถึงตามบทบาท ฝ่ายบัญชีเข้าระบบบัญชี ฝ่ายขายไม่จำเป็นต้องเข้าห้องเซิร์ฟเวอร์
5. ทดลองกับกลุ่มเล็ก สิบคนสองสัปดาห์จะพบปัญหาส่วนใหญ่
6. เขียนคู่มือหนึ่งหน้าสำหรับพนักงาน ขั้นตอนติดตั้ง วิธีเชื่อมต่อ และโทรหาใคร
7. วางแผนความจุ นับจำนวนสูงสุดของคนที่จะเชื่อมต่อพร้อมกัน และถามผู้จัดหาว่าเกตเวย์รับได้เท่าไร
8. เปิดการบันทึกและตัดสินใจว่าใครอ่าน
9. ทดสอบกรณีล้มเหลว จะเกิดอะไรเมื่อเกตเวย์ล่ม เมื่อโน้ตบุ๊กหาย เมื่อมีคนลาออก
10. ทบทวนหลังสามเดือน ดูว่าใครเชื่อมต่อ กฎใดไม่เคยถูกใช้ และเรื่องร้องเรียนใดซ้ำ

สามสถานการณ์ในธุรกิจ

สำนักงานบัญชีหกคน สำนักงานเก็บไฟล์ลูกค้าบนเซิร์ฟเวอร์เล็กในออฟฟิศ หุ้นส่วนสองคนทำงานที่บ้าน พวกเขาตั้งเกตเวย์บนไฟร์วอลล์ของออฟฟิศ บังคับใช้รหัสจากแอป authenticator ทุกครั้งที่ล็อกอิน และอนุญาตเข้าได้เฉพาะเซิร์ฟเวอร์ไฟล์ ใช้ full tunnel เพราะข้อมูลอ่อนไหวและจำนวนผู้ใช้น้อย เมื่อหุ้นส่วนคนหนึ่งทำโน้ตบุ๊กหาย พวกเขาปิดบัญชีของเธอในไดเรกทอรี และการเข้าถึงสิ้นสุดทันที

เอเจนซีออกแบบที่มีพนักงานทำงานระยะไกล สามสิบคนทำงานจากหลายเมือง และเครื่องมือส่วนใหญ่อยู่บนคลาวด์ VPN แบบเต็มจะเพิ่มความหน่วงให้วิดีโอคอลเท่านั้น พวกเขาเลือก split tunnel ที่ส่งเซิร์ฟเวอร์ภายในและเครื่องพิมพ์ของออฟฟิศผ่าน VPN ที่เหลือไปตรง และเพิ่มการตรวจอุปกรณ์เพื่อไม่ให้โน้ตบุ๊กที่ไม่ได้อยู่ในการจัดการเชื่อมต่อเซิร์ฟเวอร์ภายใน จุดอ่อนที่สุดกลายเป็นฟรีแลนซ์ ฟรีแลนซ์จึงเข้าได้เฉพาะโฟลเดอร์โปรเจกต์เดียว

โรงงานที่กำลังเติบโต โรงงานมีผู้รับเหมาซ่อมบำรุงที่ต้องเข้าตัวควบคุมเครื่องจักรหนึ่งเครื่องเดือนละครั้ง แทนที่จะให้ผู้รับเหมาเข้าถึงเครือข่ายอย่างกว้าง บริษัทจำกัดบัญชีไว้ที่ระบบนั้นระบบเดียว และเปิดให้เฉพาะช่วงเวลาที่นัดหมาย นี่คือการเข้าถึงแบบยกเว้น ไม่ใช่เข้าถึงโดยปริยาย

ข้อผิดพลาดที่ควรเลี่ยง

• พึ่งรหัสผ่านอย่างเดียว
• ให้ผู้ใช้ระยะไกลทุกคนเข้าถึงเครือข่ายภายในทั้งหมด
• ปล่อยให้คนที่ลาออกยังมีสิทธิ์ เพราะไม่มีใครเป็นเจ้าของรายชื่อบัญชี
• ลืมแพตช์เกตเวย์ มันหันหน้าสู่อินเทอร์เน็ต จึงเป็นเป้าหมายหลัก
• ใช้ full tunnel โดยไม่ตรวจว่าเกตเวย์รับภาระได้
• มองการสมัครสมาชิก VPN สำหรับผู้บริโภคเป็นโซลูชันเข้าถึงระยะไกลของบริษัท
• ละเลยตัวอุปกรณ์ โน้ตบุ๊กที่ถูกบุกรุกอยู่ในอุโมงค์ที่เชื่อถือได้ ก็คือโน้ตบุ๊กที่ถูกบุกรุกอยู่ในเครือข่ายของคุณ
• ไม่มีกระบวนการสนับสนุน พนักงานจึงใช้เครื่องมือที่ไม่ได้รับอนุมัติตามอำเภอใจ

สรุป

Remote Access VPN ให้ผู้ใช้รายบุคคลมีเส้นทางที่ป้องกันเข้าสู่เครือข่ายบริษัทผ่านเกตเวย์ที่ดูแลอยู่ ความแข็งแรงของมันขึ้นกับการเข้ารหัสน้อยกว่าการยืนยันตัวตนที่แข็งแรง กฎการเข้าถึงที่แคบ เกตเวย์ที่แพตช์แล้ว บันทึกที่มีคนเฝ้าดู และกระบวนการสนับสนุนที่ชัดเจน เลือกระหว่าง full และ split tunnel โดยชั่งความเสี่ยงกับความจุ และพิจารณาการควบคุมแบบ zero trust เป็นก้าวถัดไป ไม่ใช่สิ่งทดแทน VPN สำหรับผู้บริโภคแก้ปัญหาอีกแบบหนึ่งและไม่ใช่ระบบเข้าถึงของบริษัท

หากคุณต้องการเครื่องมือส่วนตัวสำหรับ Wi-Fi สาธารณะเมื่อเดินทางด้วย หน้าราคา แสดงตัวเลือกแบบเติมเงินง่าย ๆ สำหรับบุคคล