VPN Passthrough คืออะไร? ต้องเปิดไหม

ในหน้าตั้งค่าของเราเตอร์บ้านหลายรุ่นมีสวิตช์กลุ่มเล็ก ๆ ชื่อ PPTP Passthrough, L2TP Passthrough และ IPsec Passthrough มักเปิดไว้ตั้งแต่ต้น แทบไม่มีคำอธิบายกำกับ และคนที่กำลังแก้ปัญหา VPN ก็มักสงสัยว่าลองสลับดูจะช่วยไหม บางครั้งช่วย แต่หลายครั้งไม่ช่วยอะไรเลย

บทความนี้อธิบายว่า VPN Passthrough คืออะไรจริง ๆ ทำไมมันจึงมีอยู่ สถานการณ์ไหนยังต้องใช้ สถานการณ์ไหนไม่ต้อง และจะรู้ได้อย่างไรว่าเราเตอร์เป็นต้นเหตุที่ทำให้ VPN เชื่อมต่อไม่ได้ เนื้อหาพูดถึงเราเตอร์ในฐานะตัวกลางระหว่างอุปกรณ์ของคุณกับบริการ VPN หากอยากให้เราเตอร์รัน VPN เอง VPN บนเราเตอร์ เทียบกับแอป VPN เปรียบเทียบสองแบบไว้ให้แล้ว

Passthrough หมายถึงอะไรกันแน่

เราเตอร์บ้านทำหน้าที่แปลงที่อยู่เครือข่าย หรือเรียกสั้น ๆ ว่า NAT ภายในบ้าน อุปกรณ์ใช้ที่อยู่ส่วนตัว เช่น ช่วงที่กำหนดใน RFC 1918 ส่วนบนอินเทอร์เน็ต ทุกเครื่องใช้ที่อยู่สาธารณะเดียวของเราเตอร์ร่วมกัน เราเตอร์จดตารางว่าเครื่องภายในเครื่องไหนเริ่มบทสนทนาใด เพื่อส่งคำตอบกลับไปถูกที่

กลไกนี้ใช้ได้ง่ายกับทราฟฟิกเว็บทั่วไปที่วิ่งบน TCP หรือ UDP และมีหมายเลขพอร์ตชัดเจน เราเตอร์ติดตามพอร์ตได้ ปัญหาเกิดกับทราฟฟิกที่ไม่ใช้พอร์ตเลย อุโมงค์ VPN บางชนิดถูกส่งด้วยหมายเลขโปรโตคอลของตัวเองแทนที่จะเป็น TCP หรือ UDP เมื่อไม่มีหมายเลขพอร์ต เราเตอร์ก็ไม่มีอะไรจะบันทึกลงตาราง จึงอาจทิ้งคำตอบ หรือสับสนระหว่างสองเครื่องที่พยายามใช้อุโมงค์ชนิดเดียวกัน

"Passthrough" คือชื่อเรียกตรรกะในเราเตอร์ที่รู้จักอุโมงค์เหล่านี้และติดตามด้วยวิธีอื่น เมื่อเปิดอยู่ เราเตอร์จะยอมให้อุโมงค์ดังกล่าวออกจากเครื่องภายใน และปล่อยคำตอบกลับเข้ามา มันไม่ได้ยืนยันตัวตน สร้าง VPN หรือเข้ารหัสอะไร เพียงแต่ไม่ทำลาย VPN ที่อุปกรณ์กับเซิร์ฟเวอร์ปลายทางสร้างขึ้นเอง

โปรโตคอลที่อยู่เบื้องหลังสวิตช์เหล่านี้

สวิตช์แต่ละตัวเกี่ยวกับเทคโนโลยีอุโมงค์รุ่นเก่าคนละตระกูล

ชื่อสวิตช์	เทคโนโลยีที่เกี่ยวข้อง	สิ่งที่เราเตอร์ต้องจัดการ
PPTP Passthrough	PPTP อุโมงค์ชนิดเก่า	การเชื่อมต่อควบคุม และแพ็กเก็ตอีกชนิดคือ GRE (โปรโตคอล 47)
L2TP Passthrough	L2TP ที่มักใช้ร่วมกับ IPsec	แพ็กเก็ต UDP มักเป็นพอร์ต 1701 และมักห่อด้วย IPsec
IPsec Passthrough	อุโมงค์ IPsec (ดู RFC 4301)	ESP (โปรโตคอล 50) การแลกเปลี่ยนคีย์ผ่าน UDP และ NAT traversal บน UDP พอร์ต 4500

แนวคิดสองข้อช่วยอธิบายได้มาก

โปรโตคอลที่ไม่มีพอร์ต GRE และ ESP เป็นหมายเลขโปรโตคอลแยกต่างหาก ไม่ใช่ TCP หรือ UDP เราเตอร์ที่ติดตามเฉพาะพอร์ตจะตามมันไม่ได้หากไม่มีโค้ดพิเศษ โค้ดพิเศษนั้นคือสิ่งที่สวิตช์ Passthrough ควบคุม

NAT traversal อุโมงค์ที่ใช้ IPsec รุ่นใหม่ รวมถึงแบบที่ใช้ IKEv2 ตามที่อธิบายใน RFC 7296 แก้ปัญหาด้วยวิธีต่างออกไป คือตรวจพบว่ามี NAT อยู่ในเส้นทาง แล้วห่อแพ็กเก็ตที่เข้ารหัสไว้ใน UDP ทำให้เราเตอร์เห็นเป็น UDP ธรรมดาที่มีหมายเลขพอร์ต เมื่อ NAT traversal ทำงาน เราเตอร์ไม่ต้องช่วยเป็นพิเศษ และสวิตช์ Passthrough ก็ไม่สำคัญ

ผลคือสวิตช์ Passthrough ส่วนใหญ่เป็นมรดกจากยุคที่เราเตอร์รับมืออุโมงค์เหล่านี้ไม่ได้ บนเราเตอร์รุ่นใหม่ สวิตช์อาจเหลืออยู่เพื่อความเข้ากันได้ และความสามารถเบื้องหลังอาจเปิดตลอดเวลา

เมื่อไรที่ต้องคิดเรื่องนี้จริง ๆ

Passthrough สำคัญในสถานการณ์ที่จำกัดมาก

1. การเชื่อมต่อ PPTP แบบเก่า ระบบสำนักงานเก่าบางแห่งยังใช้อยู่ PPTP ต้องจัดการแพ็กเก็ต GRE เป็นพิเศษ และบนเราเตอร์บางรุ่นต้องเปิด PPTP Passthrough ข้อควรรู้คือ PPTP เก่าและถูกมองว่าอ่อนแอ ถ้าเลือกเองได้ ให้ใช้อุโมงค์รุ่นใหม่กว่า
2. การตั้งค่า IPsec หรือ L2TP/IPsec แบบเก่า โดยเฉพาะกับเราเตอร์หรือเฟิร์มแวร์เก่าที่ปลายทางอีกด้านไม่รองรับ NAT traversal
3. หลายเครื่องใช้อุโมงค์แบบเก่าชนิดเดียวกันพร้อมกัน เราเตอร์เก่าอาจรับ PPTP ได้หนึ่งเซสชันแต่ล้มเหลวเมื่อมีสอง เพราะแยกคำตอบ GRE ไม่ออก
4. เฟิร์มแวร์แปลกหรือเก่ามาก เช่น กล่องจาก ISP ที่ตัดฟีเจอร์ออกเกือบหมด
5. เราเตอร์ที่ถูกล็อกด้วยกฎไฟร์วอลล์ ซึ่งบล็อกหมายเลขโปรโตคอลที่ไม่ปกติ

สำหรับเกือบทุกกรณีอื่น รวมถึงกรณีที่พบบ่อยคือแอป VPN บนมือถือหรือโน้ตบุ๊กที่ใช้การเชื่อมต่อ UDP หรือ TCP ธรรมดา ไม่มีอะไรต้องเปิด การที่บริการ VPN ของคุณใช้การเชื่อมต่อแบบไหน บริการนั้นเป็นผู้อธิบาย บนหน้า My Pass ของ XPASS มีวิธีเชื่อมต่อที่รองรับและคำแนะนำการตั้งค่า ให้ทำตามนั้นแทนการเดา

เมื่อไรที่ไม่ต้องสนใจ Passthrough

กรณีทั่วไปที่สวิตช์นี้ไม่เกี่ยวข้อง

• แอป VPN ที่ใช้ UDP หรือ TCP หากแอปสร้างอุโมงค์บนหมายเลขพอร์ตปกติ เราเตอร์จะเห็นเป็นการเชื่อมต่อธรรมดา ดูแนวคิดว่าอุโมงค์ต่างชนิดวิ่งต่างกันใน โปรโตคอล VPN คืออะไร
• VPN ที่รันบนตัวเราเตอร์เอง เราเตอร์เป็นปลายทางของอุโมงค์ ไม่ใช่ตัวกลาง Passthrough จึงไม่เกี่ยวกับอุโมงค์นั้น
• เราเตอร์ที่ไม่มีการตั้งค่านี้ น่าจะจัดการอัตโนมัติ
• ฮอตสปอตมือถือ เครือข่ายมือถือมีกฎของตัวเองและไม่มีสวิตช์ Passthrough ให้คุณปรับ
• VPN ที่ทำงานอยู่แล้ว ถ้า VPN เชื่อมต่อและอยู่ได้ การแก้ค่าเราเตอร์มีแต่เพิ่มความเสี่ยง

หลักที่ดีคือทดสอบก่อน และแตะการตั้งค่าเมื่อ VPN ล้มเหลวในรูปแบบที่ชี้ไปที่เราเตอร์เท่านั้น

Passthrough, Port Forwarding และ DMZ ต่างกัน

ศัพท์สามคำนี้ถูกสับสนกันตลอดเวลา

ฟีเจอร์	ทิศทาง	วัตถุประสงค์	ความจำเป็นทั่วไป
VPN Passthrough	ขาออก จากข้างใน	ให้อุปกรณ์ภายในสร้าง VPN ของตัวเอง	อุโมงค์ชนิดเก่า
Port Forwarding	ขาเข้า จากข้างนอก	ส่งพอร์ตที่เลือกไปยังอุปกรณ์ภายใน	โฮสต์บริการ หรือ VPN เซิร์ฟเวอร์ที่บ้าน
DMZ	ขาเข้า จากข้างนอก	ส่งทราฟฟิกที่ไม่มีใครเรียกไปยังเครื่องเดียว	แทบไม่ใช่ความคิดที่ดี

หากอยากเข้าถึงอุปกรณ์ของตัวเองจากข้างนอก คุณต้องมองฝั่งเซิร์ฟเวอร์ และแนวคิดการส่งต่อพอร์ตมีอธิบายใน Port Forwarding ของ VPN อธิบาย อย่าเปิด DMZ เพื่อแก้ปัญหาไคลเอนต์ VPN เพราะมันเปิดอุปกรณ์สู่อินเทอร์เน็ตและแทบไม่เคยแก้ปัญหาการเชื่อมต่อฝั่งไคลเอนต์ได้

วินิจฉัยว่าเราเตอร์เป็นต้นเหตุหรือไม่

ถ้า VPN เชื่อมต่อไม่ได้ ให้ไล่ตามลำดับนี้ก่อนจะโทษ Passthrough

1. ทดสอบบนเครือข่ายอื่น ใช้ฮอตสปอตมือถือกับอุปกรณ์เครื่องเดิม ถ้าเชื่อมต่อได้ตรงนั้นแต่ไม่ได้ที่บ้าน เราเตอร์หรือ ISP ที่บ้านน่าสงสัย ถ้าไม่ได้ทุกที่ ปัญหาอยู่ที่ข้อมูลล็อกอิน แอป หรือบริการ
2. ตรวจพื้นฐาน ยืนยันชื่อผู้ใช้ รหัสผ่าน เวลาของระบบ และเวอร์ชันแอป คู่มือ VPN เชื่อมต่อไม่ได้ ไล่เรื่องเหล่านี้ตามลำดับ
3. รีสตาร์ทเราเตอร์ บางครั้งตาราง NAT มีรายการค้างเก่า การรีสตาร์ทล้างได้
4. ทดสอบทีละเครื่อง เมื่อหลายเครื่องพยายามใช้อุโมงค์แบบเก่าชนิดเดียวกัน เราเตอร์ธรรมดาอาจสับสน ตัดการเชื่อมต่อเครื่องอื่นแล้วลองใหม่
5. ดูการตั้งค่า Passthrough หรือ VPN ของเราเตอร์ ถ้าสวิตช์ที่เกี่ยวข้องปิดอยู่ ให้เปิดแล้วทดสอบอีก เปลี่ยนทีละอย่าง
6. อัปเดตเฟิร์มแวร์เราเตอร์ บั๊กเรื่องการจัดการ NAT จำนวนมากถูกแก้ในการอัปเดต
7. ตรวจ Double NAT ถ้าเราเตอร์อยู่หลังกล่อง ISP ที่แปลงที่อยู่เช่นกัน กล่องชั้นนอกอาจเป็นตัวบล็อกอุโมงค์ การตั้งกล่องเป็นโหมดบริดจ์ หรือสอบถาม ISP อาจช่วย
8. ลองวิธีเชื่อมต่ออื่นในแอป VPN หากแอปมีให้เลือก ให้คงค่าเริ่มต้นไว้เว้นแต่ฝ่ายสนับสนุนแนะนำ
9. ติดต่อฝ่ายสนับสนุนของบริการ VPN พร้อมข้อความที่เห็นแบบตรงตัว พวกเขาบอกได้ว่าวิธีเชื่อมต่อแบบไหนใช้ได้ดีที่สุดกับเราเตอร์บ้าน

ลำดับนี้ประหยัดเวลา เพราะสองข้อแรกแยกปัญหาเราเตอร์ออกจากทุกอย่างได้แล้ว

ตัวอย่างจริง

ที่ปรึกษาที่ต้องใช้ VPN เก่าของลูกค้า คุณมิ้นท์ทำงานที่บ้านและเชื่อมต่อกับเกตเวย์ PPTP แบบเก่าของลูกค้า เชื่อมต่อได้บนฮอตสปอตมือถือแต่ไม่ได้ที่บ้าน สวิตช์ PPTP Passthrough ของเราเตอร์ปิดอยู่ พอเปิดก็ใช้ได้ เธอยังแจ้งลูกค้าด้วยว่า PPTP ค่อนข้างอ่อนแอ และถามว่ามีทางเลือกใหม่กว่าไหม

ครอบครัวที่ทำอะไรก็ไม่ช่วย โน้ตบุ๊กของคุณเบนเชื่อมต่อแอป VPN ที่บ้านไม่ได้ แต่ใช้ได้ที่คาเฟ่ เขาสลับสวิตช์ Passthrough ทั้งสามตัวโดยไม่มีอะไรเปลี่ยน สุดท้ายพบว่ากล่องของ ISP ที่อยู่หน้าเราเตอร์ของเขาบล็อกวิธีเชื่อมต่อที่แอปใช้เป็นค่าเริ่มต้น เมื่อสอบถามฝ่ายสนับสนุนแล้วเปลี่ยนแอปไปใช้วิธีเชื่อมต่ออื่นจากการตั้งค่าในแอปเอง ก็แก้ได้ Passthrough ไม่ใช่ต้นเหตุเลย

นักศึกษาในหอพัก เครือข่ายหอพักมีผู้ดูแลและไม่ให้เข้าถึงเราเตอร์ การตั้งค่า Passthrough เป็นสิ่งที่นักศึกษาเปลี่ยนไม่ได้ และ VPN เชื่อมต่อไม่ได้ ขั้นตอนที่ช่วยได้คือถามสำนักงานเครือข่ายว่าอนุญาตการเชื่อมต่อขาออกแบบใด และใช้เครือข่ายอื่นสำหรับงานที่ละเอียดอ่อน

หมายเหตุด้านความปลอดภัย

การเปิด Passthrough ไม่ได้ทำให้เครือข่ายอ่อนแอเท่าการเปิดพอร์ต มันกระทบเฉพาะอุโมงค์ขาออกที่คุณเริ่มเอง แต่ควรมีนิสัยบางอย่างไว้

• อย่าเปิดการบริหารเราเตอร์จากระยะไกลให้เข้าถึงจากอินเทอร์เน็ต
• อัปเดตเฟิร์มแวร์ เพราะโค้ดจัดการ NAT และ VPN คือจุดที่บั๊กมักปรากฏ
• เลือกอุโมงค์รุ่นใหม่แทน PPTP เมื่อเลือกได้ คู่มือ NIST เรื่อง IPsec VPN เป็นแหล่งอ้างอิงที่เชื่อถือได้เรื่องความปลอดภัยของอุโมงค์
• จำไว้ว่า VPN ปกป้องทราฟฟิกเฉพาะช่วงระหว่างอุปกรณ์กับเซิร์ฟเวอร์ VPN ไม่ได้หยุดฟิชชิงหรือการขโมยบัญชี

คุณดาวน์โหลดแอป VPNclient ที่ฟรีสำหรับ iPhone, Android, Windows และ macOS ได้จาก หน้าดาวน์โหลด และใช้ชื่อผู้ใช้กับรหัสผ่านที่แสดงบนหน้า My Pass หากเชื่อมต่อที่เครือข่ายบ้านไม่ได้แต่ที่อื่นได้ ลำดับขั้นข้างต้นบอกว่าควรดูตรงไหน

สรุป

VPN Passthrough คือฟีเจอร์ของเราเตอร์ที่ให้อุโมงค์ VPN ที่อุปกรณ์ภายในเครือข่ายสร้างขึ้นผ่านการแปลงที่อยู่ไปได้ สำคัญเป็นหลักกับอุโมงค์ชนิดเก่า เช่น PPTP และการตั้งค่า IPsec บางแบบ เพราะใช้หมายเลขโปรโตคอลที่ไม่มีพอร์ต อุโมงค์รุ่นใหม่ที่ใช้ UDP หรือ TCP ธรรมดาแทบไม่ต้องใช้ ให้วินิจฉัยด้วยเครือข่ายที่สอง รีสตาร์ทเราเตอร์ เปลี่ยนค่าทีละอย่าง อัปเดตเฟิร์มแวร์ และตรวจ Double NAT แทนการสลับทุกอย่างพร้อมกัน

หากอยากได้แพ็กง่าย ๆ ไว้ทดสอบบนเครือข่ายต่าง ๆ หน้าราคา พร้อมให้ดูเมื่อคุณสะดวก