SD-WAN กับ VPN ใช้งานต่างกันอย่างไร

คนที่ดูแลหลายสถานที่มักเจอคำถามเรื่อง SD-WAN vs VPN เมื่อผู้ขายสัญญาว่าการเชื่อมต่อระหว่างออฟฟิศ "ดีกว่า VPN" จริง ๆ แล้วทั้งสองไม่ได้เป็นคู่แข่งอย่างที่การตลาดพยายามบอก VPN ตอบคำถามว่า "จะสร้างเส้นทางปลอดภัยระหว่างสองจุดนี้อย่างไร" ส่วน SD-WAN ตอบว่า "ฉันมีหลายเส้นทางระหว่างสาขา จะใช้อย่างไรให้ดี" และคำตอบของข้อหลังมักรวมคำตอบของข้อแรกไว้ด้วย

บทความนี้อธิบายความต่างจากฝั่งเครือข่าย เนื้อหาเน้นลิงก์ ความหน่วง การสลับเส้นทางเมื่อล่ม และการกำหนดเส้นทางทราฟฟิก ไม่ใช่เรื่องตัวตนหรือนโยบายสิทธิ์ ซึ่งอยู่ในการเปรียบเทียบอื่น เช่น VPN เชื่อมระหว่างสถานที่สำหรับบ้าน บทความจะช่วยให้ตัดสินใจได้ว่าระบบหลายสาขาของคุณต้องการอะไรมากกว่าอุโมงค์ไม่กี่เส้นที่สร้างมาอย่างดีหรือไม่

สองคำถามที่ต่างกัน

เริ่มจากดูว่าแต่ละเทคโนโลยีออกแบบมาแก้ปัญหาอะไร

VPN ในความหมายแบบเชื่อมสถานที่ คือการเชื่อมเครือข่ายส่วนตัวสองแห่งผ่านอินเทอร์เน็ตสาธารณะ แพ็กเก็ตออกจากออฟฟิศหนึ่ง ถูกห่อและเข้ารหัส เดินทางผ่านอินเทอร์เน็ต แล้วถูกแกะออกที่อีกออฟฟิศ ตัวอุโมงค์มักเป็น IPsec ตามที่อธิบายใน RFC 4301 หรือโปรโตคอลที่คล้ายกัน อุโมงค์ไม่รู้และไม่สนว่าการเชื่อมต่อข้างใต้ดีแค่ไหน ถ้าสายช้า อุโมงค์ก็ช้าตามไปด้วย

SD-WAN คือวิธีบริหารเครือข่ายพื้นที่กว้างด้วยซอฟต์แวร์ อุปกรณ์เล็ก ๆ หรืออุปกรณ์เสมือนที่แต่ละสาขาคอยดูการเชื่อมต่อที่มี เช่น ไฟเบอร์ เคเบิล และอินเทอร์เน็ตมือถือสำรอง มันวัดความหน่วง การสูญหายของแพ็กเก็ต และความแกว่ง (jitter) ของแต่ละเส้น ตัวควบคุมกลางเก็บนโยบาย เช่น "การประชุมวิดีโอเลือกเส้นที่หน่วงต่ำที่สุด" หรือ "การสำรองไฟล์ใช้เส้นที่ถูกที่สุด" แล้วอุปกรณ์ก็ชี้ทราฟฟิกแต่ละกระแสตามนั้น

ดังนั้น VPN ว่าด้วยความปลอดภัยของเส้นทาง ส่วน SD-WAN ว่าด้วยการเลือกและคุณภาพของเส้นทาง ทั้งสองทับซ้อนกันเพราะ SD-WAN ต้องใช้อุโมงค์เข้ารหัสเพื่อส่งทราฟฟิกระหว่างสาขาอย่างปลอดภัย

Underlay กับ overlay ศัพท์ที่ทำให้เข้าใจง่าย

สองคำนี้ปรากฏในทุกการพูดถึง SD-WAN

• Underlay คือการเชื่อมต่อจริง ๆ สายไฟเบอร์ โมเด็ม 4G บริการเคเบิล ซึ่งเป็นของผู้ให้บริการอินเทอร์เน็ตของคุณ
• Overlay คือเครือข่ายเสมือนที่สร้างทับบนนั้น ประกอบด้วยอุโมงค์ระหว่างสาขา

ลองนึกถึงรถส่งของ ถนนคือ underlay VPN ระหว่างสถานที่เหมือนรถตู้ที่ปิดผนึกและวิ่งบนถนนเส้นที่เลือกไว้เส้นเดียว SD-WAN คือผู้ควบคุมการจัดส่งที่รู้จักถนนทุกเส้น เห็นว่าเส้นไหนรถติด แล้วส่งรถคันต่อไปไปอีกทางหนึ่ง โดยรถยังคงปิดผนึกเหมือนเดิม

นี่ยังอธิบายด้วยว่าทำไม SD-WAN แก้ถนนที่แย่ไม่ได้ ถ้าการเชื่อมต่อทั้งสองเส้นของสาขาแย่ทั้งคู่ ผู้ควบคุมก็ไม่มีทางเลือกที่ดี

SD-WAN เพิ่มอะไรจากอุโมงค์ธรรมดา

ความสามารถ	VPN เชื่อมสถานที่แบบธรรมดา	SD-WAN
การเชื่อมสาขาแบบเข้ารหัส	มี	มี มักเป็นอุโมงค์ IPsec
หลายลิงก์ต่อสาขา	ทำได้แต่ต้องตั้งเอง	ออกแบบมาเพื่อสิ่งนี้
วัดคุณภาพลิงก์	มักไม่มี	วัดต่อเนื่องแยกแต่ละลิงก์
สลับลิงก์เมื่อล่ม	ช้าหรือต้องเขียนสคริปต์	อัตโนมัติ มักภายในไม่กี่วินาที
เลือกเส้นทางตามแอป	พบน้อย	เป็นฟีเจอร์หลัก
นโยบายกลางสำหรับหลายสาขา	ตั้งค่ารายอุปกรณ์	ตัวควบคุมตัวเดียว
เปิดสาขาใหม่	ตั้งเองรายอุปกรณ์	มักเตรียมไว้ล่วงหน้าแล้วเสียบใช้
ดูสุขภาพลิงก์	พื้นฐาน ทีละอุปกรณ์	แดชบอร์ดรวมทุกสาขา

จุดสำคัญคือการสลับเมื่อล่ม (failover) กับ VPN ธรรมดา ถ้าสายไฟเบอร์ขาดและมีมือถือสำรอง ต้องมีคนตั้งเส้นทางและอุโมงค์เพื่อให้ใช้ตัวสำรอง และอุโมงค์มักต้องสร้างใหม่ SD-WAN ออกแบบให้สลับเร็ว เพราะมีอุโมงค์เปิดอยู่บนทั้งสองลิงก์แล้ว

failover เกิดขึ้นจริงอย่างไร

ลองดูลำดับเหตุการณ์ของสาขาทั่วไป

1. สาขามีไฟเบอร์เป็นลิงก์หลักและโมเด็มมือถือเป็นตัวสำรอง อุปกรณ์ SD-WAN เปิดอุโมงค์ไว้บนทั้งสองเส้น
2. รถขุดถนนตัดสายไฟเบอร์ข้างนอก แพ็กเก็ตตรวจสอบที่ส่งทุกวินาทีบนอุโมงค์นั้นเริ่มหาย
3. หลังพลาดไปไม่กี่ครั้ง อุปกรณ์ทำเครื่องหมายว่าลิงก์ไฟเบอร์ไม่สมบูรณ์
4. ทราฟฟิกที่เคยใช้อุโมงค์ไฟเบอร์ถูกย้ายไปอุโมงค์มือถือ การโทรอาจสะดุดชั่วครู่ แล้วเดินต่อ
5. อุปกรณ์ตรวจลิงก์ไฟเบอร์ต่อ เมื่อปกติดีครบตามเวลาที่กำหนด ทราฟฟิกจึงย้ายกลับ เว้นแต่นโยบายสั่งให้อยู่เดิมเพื่อไม่ให้สลับไปมาบ่อย

กับ VPN ธรรมดาที่สร้างตัวสำรองด้วยมือ ขั้นที่ 4 อาจใช้เวลาหนึ่งนาทีหรือมากกว่า และการเชื่อมต่อที่เปิดนาน ๆ อาจหลุด ไม่มีแบบไหนเป็นเวทมนตร์ แต่แบบหนึ่งออกแบบมาเพื่อเหตุการณ์นี้ ส่วนอีกแบบแค่ทนได้

ตัวอย่างจริง กลุ่มคลินิกทันตกรรม

ลองนึกถึงกลุ่มคลินิกทันตกรรม 5 แห่งกับสำนักงานใหญ่เล็ก ๆ 1 แห่ง ทุกคลินิกใช้ระบบนัดหมายบนคลาวด์ เซิร์ฟเวอร์ภาพถ่ายรังสีร่วมที่สำนักงานใหญ่ และโทรศัพท์ IP

ก่อนเปลี่ยน แต่ละคลินิกมีไฟเบอร์หนึ่งเส้นและอุโมงค์ไปสำนักงานใหญ่ การโทรระหว่างคลินิกและไปยังสำนักงานใหญ่ผ่านอุโมงค์นั้น เมื่อลิงก์ของสำนักงานใหญ่เต็มจากการอัปโหลดภาพขนาดใหญ่ เสียงสนทนาจะขาดเป็นช่วง ๆ เพราะใช้เส้นทางเดียวกันโดยไม่มีลำดับความสำคัญ สองคลินิกมีสายขัดข้องเป็นครั้งคราว พนักงานต้องทำงานด้วยฮอตสปอตมือถือและเข้าเซิร์ฟเวอร์ภาพไม่ได้

หลังใช้ SD-WAN แต่ละคลินิกได้อุปกรณ์ SD-WAN พร้อมไฟเบอร์และมือถือสำรอง นโยบายกำหนดให้เสียงและระบบนัดหมายได้ลำดับความสำคัญสูงและเลือกลิงก์ที่หน่วงต่ำสุด ส่วนการอัปโหลดภาพใช้ความจุที่เหลือและลิงก์ที่ถูกกว่าเมื่อเป็นไปได้ ถ้าไฟเบอร์ของคลินิกใดล่ม มือถือสำรองรับช่วงต่อ อุโมงค์ยังคงอยู่ และเซิร์ฟเวอร์ภาพยังเข้าถึงได้ สำนักงานใหญ่เห็นสุขภาพลิงก์ทั้งหมดในแดชบอร์ดเดียว

สิ่งที่เจ้าของควรคาดหวัง

• เสียงติดขัดน้อยลงตอนอัปโหลดไฟล์ใหญ่ เพราะมีการจัดลำดับความสำคัญ
• ช่วงที่เน็ตล่มสั้นลง
• ค่าใช้จ่ายรายเดือนของอุปกรณ์และตัวควบคุม บวกแพ็กเกจข้อมูลมือถือ
• ต้องเรียนรู้เรื่องใหม่ คือการออกแบบนโยบาย ถ้าเสียงและภาพถ่ายรังสีต่างอ้างลำดับสูงสุด ก็ไม่มีอะไรดีขึ้น

สิ่งที่ SD-WAN ไม่ช่วยในกรณีนี้ ถ้าคลินิกอยู่ในอาคารที่สัญญาณมือถืออ่อนและไฟเบอร์ก็ไม่เสถียร ตัวสำรองก็จะอ่อนไปด้วย ถ้าเซิร์ฟเวอร์ภาพเก่าและช้า การชี้ทราฟฟิกก็ไม่ช่วย และถ้าพนักงานใช้รหัสผ่านซ้ำ อุโมงค์เข้ารหัสก็ไม่ปกป้องอะไรจากเรื่องนั้น

SD-WAN กับ VPN ใช้ร่วมกัน ไม่ใช่แทนกัน

ในเครือข่ายจริง ทั้งสองมักอยู่ด้วยกัน

• ผลิตภัณฑ์ SD-WAN จำนวนมากใช้อุโมงค์ IPsec เป็น overlay มาตรฐานเดียวกับที่รองรับ VPN ทั่วไปจึงใช้ได้ รวมถึงคำแนะนำใน NIST SP 800-77 เรื่องการตั้งค่า IPsec ให้ถูกต้อง
• บริษัทอาจใช้ SD-WAN กับสาขา และใช้ VPN แบบไคลเอนต์แยกต่างหากสำหรับคนที่ทำงานที่บ้านหรือเดินทาง
• สาขาเล็กที่ไม่คุ้มกับอุปกรณ์ SD-WAN อาจยังต่อเข้าเครือข่ายหลักผ่านอุโมงค์แบบเดิม และระบบกลางมองเป็นปลายทางอีกจุดหนึ่ง

เหตุนี้การตัดสินใจซื้อที่ตั้งคำถามว่า "SD-WAN หรือ VPN" จึงอาจทำให้เข้าใจผิด คำถามที่ดีกว่าคือ "สาขาของฉันต้องการการกำหนดเส้นทางหลายลิงก์ที่จัดการจากส่วนกลาง หรืออุโมงค์หนึ่งเส้นต่อสาขาก็พอ"

จุดเทคนิคที่คนมักพลาด

มีรายละเอียดหลายอย่างที่กระทบทั้งสองแนวทาง ควรตรวจก่อนซื้อ

• ขนาดแพ็กเก็ต อุโมงค์เพิ่มส่วนหัว แพ็กเก็ตขนาดเต็มจึงอาจใส่ไม่พอ ถ้าจัดการไม่ถูก บางแอปจะค้างทั้งที่แอปอื่นใช้ได้ การค้นหา MTU ตามเส้นทางอธิบายไว้ใน RFC 1191 และ ปัญหา MTU ของ VPN อธิบายอาการไว้
• การสูญหายกับความหน่วง เสียงไวต่อการสูญหายและ jitter มากกว่าความเร็วดิบ ดู แพ็กเก็ตสูญหายส่งผลต่อ VPN อย่างไร เพื่ออ่านอาการ
• ที่อยู่ IP แต่ละสาขาควรใช้ช่วงที่อยู่ส่วนตัวที่ไม่ซ้ำกัน ถ้าสองออฟฟิศใช้ช่วงเดียวกัน อุโมงค์จะยุ่งยาก
• CGNAT การเชื่อมต่อมือถือและบ้านบางแบบอยู่หลังที่อยู่ร่วมที่รับการเชื่อมต่อขาเข้าไม่ได้ อุโมงค์ต้องเริ่มจากฝั่งสาขา อ่านเพิ่มที่ VPN หลัง CGNAT
• ความหน่วงมีพื้น ระยะทางสำคัญ คำอธิบายเรื่องความหน่วงของ Cloudflare เป็นบทนำที่ดีว่าทำไมการชี้ทราฟฟิกชนะกฎฟิสิกส์ไม่ได้
• เราเตอร์สองสายอินเทอร์เน็ต เราเตอร์บางรุ่นอ้างว่าแบ่งโหลดหลายลิงก์ได้โดยไม่มีชุด SD-WAN เต็มรูปแบบ อาจพอสำหรับสาขาเล็ก แต่ไม่ค่อยวัดคุณภาพลิงก์ได้ละเอียดเท่า

เมื่อ VPN ธรรมดาก็พอ

เลือกอุโมงค์เชื่อมสถานที่แบบเดิม หรือแม้แต่ VPN เข้าระบบจากระยะไกล เมื่อ

1. มีสองถึงสี่สาขา แต่ละแห่งมีการเชื่อมต่อที่เชื่อถือได้หนึ่งเส้น
2. ทราฟฟิกส่วนใหญ่เป็นเว็บและอีเมล และไม่มีใครบ่นเรื่องคุณภาพการโทร
3. ระบบล่มหนึ่งชั่วโมงน่ารำคาญ แต่ไม่ถึงกับเสียหายหนัก
4. มีวิศวกรหรือผู้รับเหมาที่เข้าใจระบบคอยดูแลได้
5. งบไม่พอสำหรับอุปกรณ์ใหม่และค่าสมัครตัวควบคุม

และพิจารณา SD-WAN เมื่อข้อต่อไปนี้เป็นจริงหลายข้อ

1. มีมากกว่าไม่กี่สาขาและยังเพิ่มขึ้น
2. แต่ละสาขามีการเชื่อมต่อสองเส้น หรืออยากให้มี
3. เสียง วิดีโอ หรือระบบขายหน้าร้านพังชัดเจนเมื่อลิงก์ไม่ดี
4. การเปิดสาขาใหม่ควรใช้เวลาเป็นวัน ไม่ใช่เป็นสัปดาห์ และทำได้โดยคนที่ไม่ใช่ผู้เชี่ยวชาญ
5. ต้องการที่เดียวสำหรับดูสุขภาพลิงก์ทั้งหมด

เรื่องต้นทุนควรมองตรง ๆ อุโมงค์ธรรมดาระหว่างเราเตอร์สองตัวที่มีอยู่แล้วอาจไม่มีค่าใช้จ่ายนอกจากเวลาของแอดมิน ส่วน SD-WAN มักเพิ่มอุปกรณ์ต่อสาขา ค่าสมัครตัวควบคุมที่เพิ่มตามจำนวนสาขา และค่าอินเทอร์เน็ตเส้นที่สองเอง ให้เทียบกับความเสียหายจากการล่มหนึ่งชั่วโมงของคลินิก ร้านค้า หรือคอลเซ็นเตอร์ และจำนวนครั้งที่ช่างต้องเดินทางไปหน้างานที่การเปิดสาขาเร็วขึ้นจะช่วยประหยัดได้ ถ้าคำตอบตรง ๆ คือ "น้อยมาก" ก็ใช้อุโมงค์ง่าย ๆ ต่อไป แต่ถ้าบ่ายที่แย่เพียงวันเดียวก็แพงกว่าค่าสมัครทั้งปี การคำนวณก็เปลี่ยนไป และควรถามด้วยว่าใครจะเป็นคนดูแล บริการแบบมีผู้จัดการช่วยย้ายปัญหาเรื่องทักษะไปที่ผู้ให้บริการ แต่คุณยังต้องเข้าใจนโยบายที่จ่ายเงินซื้ออยู่

ความผิดพลาดที่พบบ่อย

• ซื้อ SD-WAN เพื่อแก้สายช้าจากผู้ให้บริการที่แย่ แทนที่จะแก้สายนั้น
• ใช้ผู้ให้บริการรายเดียวกัน หรือสายกายภาพเส้นเดียวกันทั้งสองลิงก์ เมื่อเกิดเหตุเดียวก็หายไปทั้งคู่
• ตั้งทุกแอปให้เป็นลำดับความสำคัญสูงสุด
• ลืมเรื่องความปลอดภัย อุโมงค์เข้ารหัสไม่กรองเว็บและไม่หยุดมัลแวร์
• ไม่ทดสอบ failover ลิงก์สำรองที่ไม่เคยรับทราฟฟิกมักล้มเหลวตอนต้องใช้ ลองถอดลิงก์หลักในบ่ายที่เงียบแล้วดูผล
• คิดว่าอุปกรณ์ SD-WAN ปกป้องคนที่ทำงานที่บ้าน มันปกป้องสถานที่ ไม่ใช่รายบุคคล
• ไม่อ่านสัญญา ตรวจว่าอุปกรณ์และการตั้งค่าจะเป็นอย่างไรถ้าเลิกใช้ผู้ขายรายนั้น

สรุป

VPN ให้เส้นทางปลอดภัยระหว่างสองจุด SD-WAN บริหารหลายเส้นทางระหว่างหลายจุด วัดแต่ละลิงก์และชี้ทราฟฟิกตามนโยบาย มักผ่านอุโมงค์เข้ารหัสซึ่งเป็นเทคโนโลยี VPN เอง สำหรับสาขาไม่กี่แห่งที่มีสายเชื่อถือได้ อุโมงค์แบบเดิมเรียบง่ายและเพียงพอ สำหรับหลายสาขา หลายลิงก์ และความไวต่อคุณภาพการโทรหรือการล่ม SD-WAN คุ้มกับต้นทุน ตราบใดที่คุณยังจัดการความปลอดภัย การกำหนดที่อยู่ และการทดสอบเอง

ถ้าคุณมองหา VPN ส่วนตัวสำหรับอุปกรณ์ของตัวเอง ไม่ใช่การเชื่อมระหว่างออฟฟิศ ดูหน้าราคาได้ทุกเมื่อ