ตั้ง VPN เองกับสมัครบริการ VPN แบบไหนดีกว่า

"ทำไมต้องจ่ายค่า VPN ในเมื่อรันเองบน Raspberry Pi ได้" เป็นคำถามที่สมเหตุสมผล และคำตอบที่ซื่อสัตย์คือทั้งสองทางเลือกไม่ได้เป็นคู่แข่งกันจริง ๆ VPN ที่ตั้งเองกับ VPN แบบบริการถูกสร้างมาเพื่อภารกิจคนละอย่าง และหลายคนลงเอยด้วยการใช้ทั้งสองแบบ

คู่มือนี้เปรียบเทียบทั้งสองแบบในเรื่องว่าใช้ทำอะไร ยากแค่ไหนในการดูแล รับมือกับเครือข่ายบ้านที่ยุ่งยากอย่าง CGNAT อย่างไร และใครรับผิดชอบเมื่อเกิดปัญหา คู่มือนี้จะไม่บอกว่าแบบไหนดีกว่า แต่จะช่วยให้คุณตัดสินใจว่างานของคุณคืออะไรจริง ๆ แล้วเลือกเครื่องมือที่เหมาะ

สองเครื่องมือ สองภารกิจ

VPN สร้างอุโมงค์เข้ารหัสระหว่างอุปกรณ์ของคุณกับอีกเครือข่ายหนึ่ง สิ่งที่ต่างกันคือเครือข่ายปลายทางนั้นอยู่ที่ไหนและคุณต้องการใช้ทำอะไร

• VPN ที่ตั้งเอง ปลายทางคือเครื่องที่คุณเป็นเจ้าของ ปกติอยู่ที่บ้าน คุณค่าหลักคือการเข้าถึงสิ่งต่าง ๆ บนเครือข่ายของคุณเองเมื่อคุณอยู่ไกล เช่น NAS เครื่องพิมพ์ ระบบกล้อง หรือเซิร์ฟเวอร์ที่บ้าน
• VPN แบบบริการ ปลายทางคือเซิร์ฟเวอร์ที่ผู้ให้บริการดูแล คุณค่าหลักคือการสร้างลิงก์เข้ารหัสระหว่างคุณกับเครือข่ายท้องถิ่นที่ไว้ใจไม่ได้ เช่น คาเฟ่ โรงแรม หรือสนามบิน

เทียบเป้าหมายกัน "เข้าบ้านฉันจากข้างนอก" ไม่เหมือนกับ "ปกป้องทราฟฟิกของฉันบน Wi-Fi สาธารณะ" เซิร์ฟเวอร์ที่บ้านทำอย่างแรกได้ดีมาก ทำอย่างหลังได้บางส่วน แต่มีข้อแลกเปลี่ยนที่อธิบายไว้ด้านล่าง

สิ่งที่ VPN ที่ตั้งเองทำได้ดี

เข้าถึงทรัพยากรที่บ้าน ถ้าคุณเก็บไฟล์ไว้บน NAS รันมีเดียเซิร์ฟเวอร์ หรือดูแลแล็บเล็ก ๆ ที่บ้าน VPN เข้าสู่เครือข่ายบ้านทำให้ใช้งานได้เหมือนนั่งอยู่ที่นั่น อุปกรณ์ของคุณยังใช้ที่อยู่ส่วนตัวตามที่อธิบายใน RFC 1918 และไม่ต้องเปิดอะไรออกสู่อินเทอร์เน็ต นอกจากตัว VPN เอง

ควบคุมได้เต็มที่ คุณเลือกซอฟต์แวร์ คีย์ ใครเข้าถึงได้ และเก็บบันทึกนานเท่าไร ไม่มีนโยบายของใครมาคั่นระหว่างคุณกับทราฟฟิกของคุณ

ต้นทุนการใช้งานต่ำ บอร์ดขนาดเล็กหรือ NAS ที่มีอยู่แล้วกินไฟน้อย และซอฟต์แวร์ไม่มีค่าใช้จ่าย สำหรับคนที่ชอบทำเอง ต้นทุนหลักคือเวลา

ได้เรียนรู้ การตั้งค่าสอนเรื่องเครือข่ายได้มาก ซึ่งมีคุณค่าในตัวเอง

สิ่งที่ทำได้ไม่ดีนัก

ปกปิดน้อยกว่าที่คนคาดไว้ ทราฟฟิกที่ออกจากเซิร์ฟเวอร์ที่บ้านไปถึงเว็บไซต์ด้วยที่อยู่ของบ้านคุณ เว็บไซต์ที่บล็อกหรือบันทึกที่อยู่จะเห็นครัวเรือนของคุณ ไม่ใช่เซิร์ฟเวอร์ที่ไกลออกไป ผู้ให้บริการอินเทอร์เน็ตที่บ้านยังเป็นผู้ส่งทราฟฟิกอยู่ดี VPN ที่บ้านปกป้องช่วงระหว่างโทรศัพท์กับบ้าน ไม่ใช่สิ่งที่เกิดหลังจากนั้น

หนึ่งตำแหน่ง หนึ่งเส้นทาง ทางออกของคุณคือสายอินเทอร์เน็ตที่บ้าน ถ้าสายนั้นช้า ความเร็วอัปโหลดของแพ็กเกจจะเป็นเพดานของทุกอย่างที่คุณทำเมื่ออยู่นอกบ้าน แพ็กเกจบ้านจำนวนมากมีความเร็วอัปโหลดต่ำกว่าดาวน์โหลดมาก

คุณเป็นผู้ดูแลระบบ การอัปเดต คีย์ กฎไฟร์วอลล์ การสำรองข้อมูล และการหาสาเหตุเมื่อเสีย เป็นหน้าที่ของคุณทั้งหมด ถ้าเซิร์ฟเวอร์ล่มขณะคุณอยู่ต่างประเทศ ไม่มีใครรีสตาร์ตให้ได้

ต้องมีบ้านที่เข้าถึงได้ เซิร์ฟเวอร์ใช้งานได้ก็ต่อเมื่อเครือข่ายของคุณรับการเชื่อมต่อขาเข้าได้ ซึ่งนำไปสู่อุปสรรคที่พบบ่อย

ตัวเลือกที่ 1: Raspberry Pi เป็นเซิร์ฟเวอร์ VPN

Raspberry Pi เป็นจุดเริ่มต้นแบบคลาสสิก เพราะราคาถูก เงียบ และเปิดไว้ได้ตลอด ตัวเลือกที่นิยมคือโปรโตคอลที่ทันสมัยและเบาอย่าง WireGuard ซึ่งเว็บไซต์ของโครงการ WireGuardอธิบายการทำงานไว้ ถ้าอยากเทียบกับตัวเลือกรุ่นเก่า ดู WireGuard เทียบกับ OpenVPN

การตั้งค่าทั่วไปต้องมี

1. Pi ที่ต่อสายเข้าเราเตอร์ แหล่งจ่ายไฟที่เชื่อถือได้ และการ์ดหน่วยความจำที่ดี
2. ระบบปฏิบัติการที่อัปเดตล่าสุดและตั้งอัปเดตความปลอดภัยอัตโนมัติ
3. เซิร์ฟเวอร์ WireGuard พร้อมคู่คีย์หนึ่งชุดต่ออุปกรณ์ที่เชื่อมต่อ
4. พอร์ต UDP ที่ส่งต่อบนเราเตอร์ไปยัง Pi คู่มือเรื่องการส่งต่อพอร์ตอธิบายแนวคิดนี้
5. วิธีหาที่อยู่บ้านเมื่อมันเปลี่ยน ซึ่งมักเป็นชื่อ dynamic DNS
6. ไฟร์วอลล์ที่อนุญาตเฉพาะสิ่งที่ตั้งใจ

Pi เหมาะถ้าคุณชอบทดลองและต้องการเข้าถึงระยะไกล แต่เหมาะน้อยกว่าถ้าคุณคาดหวังว่า "ตั้งแล้วลืม" การ์ดหน่วยความจำสึกหรอได้ ระบบต้องอัปเดต และไฟดับอาจทำให้ออฟไลน์

ตัวเลือกที่ 2: VPN บน NAS

อุปกรณ์เก็บข้อมูลบนเครือข่าย (NAS) จำนวนมาก รวมถึงของ Synology และ QNAP มีหรือเสนอเซิร์ฟเวอร์ VPN เป็นแอป สะดวกเพราะอุปกรณ์เปิดอยู่แล้ว เก็บไฟล์ของคุณอยู่แล้ว และมีหน้าผู้ดูแลระบบอยู่แล้ว

ประเด็นที่ควรชั่งน้ำหนัก

• ความสะดวก การเปิดบริการ VPN ที่มีในตัวมักง่ายกว่าสร้างเองตั้งแต่ศูนย์
• การเปิดเผย NAS เป็นเป้าหมายมูลค่าสูงเพราะเก็บข้อมูลของคุณ อัปเดตเฟิร์มแวร์ให้ทันสมัย ใช้รหัสผ่านที่แข็งแรงไม่ซ้ำพร้อมการยืนยันหลายขั้นตอน อย่าเปิดหน้าผู้ดูแลระบบออกอินเทอร์เน็ต และส่งต่อเฉพาะพอร์ต VPN
• ประสิทธิภาพ โปรเซสเซอร์ของ NAS ขนาดเล็กอาจจำกัดอัตราการส่งข้อมูลที่เข้ารหัส โดยเฉพาะรุ่นเก่า
• ขอบเขต VPN บน NAS มักให้เข้าถึงตัว NAS และบางครั้งทั้งเครือข่ายบ้าน ตรวจว่าเป็นแบบไหนและจำกัดให้เหลือเท่าที่ต้องใช้

สำหรับ NAS โดยทั่วไป VPN เป็นแนวคิดที่ดีกว่าการเปิดบริการไฟล์ตรง ๆ ออกอินเทอร์เน็ต การเข้าถึง NAS ผ่านอุโมงค์ช่วยให้บริการไฟล์ไม่อยู่บนอินเทอร์เน็ตสาธารณะ

ปัญหา CGNAT

การตั้งเซิร์ฟเวอร์เองสมมติว่าอุปกรณ์ภายนอกเข้าถึงบ้านคุณได้ แต่เมื่อมี CGNAT (carrier-grade NAT) มักจะเข้าไม่ได้

เมื่อมี CGNAT ผู้ให้บริการอินเทอร์เน็ตแชร์ที่อยู่ IPv4 สาธารณะหนึ่งตัวให้ลูกค้าหลายราย เราเตอร์ของคุณได้ที่อยู่จากช่วงที่ใช้ร่วมกันซึ่งสงวนไว้ใน RFC 6598 ไม่ใช่ที่อยู่สาธารณะแท้ การเชื่อมต่อขาเข้าไม่เคยถึงเราเตอร์ของคุณ การส่งต่อพอร์ตจึงใช้ไม่ได้ พบบ่อยกับบรอดแบนด์มือถือ ไฟเบอร์และเคเบิลบางแพ็กเกจ และในพื้นที่ที่ที่อยู่ IPv4 หายาก

วิธีตรวจ เทียบที่อยู่ในหน้าสถานะของเราเตอร์กับที่อยู่ที่เว็บไซต์ "what is my IP" แสดง ถ้าต่างกัน หรือที่อยู่ของเราเตอร์ขึ้นต้นด้วย 100.64 ถึง 100.127 แสดงว่าคุณน่าจะอยู่หลัง CGNAT คู่มือเรื่อง IP สาธารณะอธิบายความแตกต่างไว้

สิ่งที่ทำได้

1. ขอจากผู้ให้บริการ ขอที่อยู่สาธารณะ บางรายให้เมื่อร้องขอ บางครั้งมีค่าใช้จ่าย
2. ใช้ IPv6 ถ้าผู้ให้บริการให้ IPv6 และเครือข่ายฝั่งผู้เชื่อมต่อรองรับ คุณอาจเชื่อมต่อตรงได้โดยไม่ผ่าน NAT
3. ส่งต่อผ่านเซิร์ฟเวอร์ที่เช่า รันเซิร์ฟเวอร์เล็ก ๆ ที่มีที่อยู่สาธารณะ แล้วให้เครื่องที่บ้านเชื่อมต่อออกไปหามัน อุปกรณ์ของคุณจึงพบกันตรงกลาง วิธีนี้เพิ่มค่าใช้จ่ายและเพิ่มเครื่องที่ต้องดูแลความปลอดภัยอีกหนึ่งเครื่อง
4. ใช้แนวทางประสานงานแบบเพียร์ทูเพียร์ บางเครื่องมือให้สองอุปกรณ์ค้นหากันและเจาะผ่าน NAT ด้วยความช่วยเหลือของเซิร์ฟเวอร์ประสานงาน นี่คือแนวคิดเบื้องหลังเครือข่ายแบบเมช ซึ่งอธิบายต่อไป

ถ้าไม่มีวิธีใดเหมาะ บริการ VPN สำเร็จรูปหลีกเลี่ยงปัญหานี้ทั้งหมดสำหรับงาน "ปกป้องฉันบนเครือข่ายสาธารณะ" เพราะไม่มีอะไรต้องเชื่อมต่อเข้าบ้านคุณเลย

แบบเพียร์ทูเพียร์และเมช

VPN แบบดั้งเดิมใช้แบบ ฮับและซี่ล้อ (hub-and-spoke) ทุกอุปกรณ์เชื่อมต่อกับเซิร์ฟเวอร์กลางหนึ่งตัวและทราฟฟิกผ่านตัวนั้น แบบ เพียร์ทูเพียร์หรือเมช ให้อุปกรณ์เชื่อมต่อกันโดยตรง โดยมีบริการประสานงานช่วยหาเส้นทาง

แบบ	จุดแข็ง	จุดอ่อน
ฮับและซี่ล้อ	เข้าใจง่าย จัดการที่เดียว	ทุกอย่างไหลผ่านเครื่องเดียว
เพียร์ทูเพียร์หรือเมช	เส้นทางตรงระหว่างอุปกรณ์ ลดภาระที่จุดกลาง	ชิ้นส่วนมากกว่า พึ่งบริการประสานงาน
บริการสำเร็จรูป	ไม่ต้องมีฮาร์ดแวร์ ไม่ต้องให้เครือข่ายบ้านรับขาเข้า	ต้องไว้ใจผู้ให้บริการ และทางออกไม่ใช่บ้านคุณ

แบบเมชน่าสนใจสำหรับการเชื่อมอุปกรณ์ของคุณเอง เช่น แล็ปท็อป NAS และโทรศัพท์ แต่ส่วนใหญ่เป็นเรื่องการเชื่อมอุปกรณ์เข้าหากัน ไม่ใช่การเปลี่ยนที่อยู่ที่เว็บไซต์เห็น มันเป็นวิธีแก้ปัญหา CGNAT ไม่ใช่สิ่งทดแทนบริการที่ปกป้องคุณบนเครือข่ายคาเฟ่

เปรียบเทียบแบบข้างกัน

คำถาม	ตั้งเองที่บ้าน	บริการสำเร็จรูป
จุดประสงค์หลัก	เข้าถึงเครือข่ายบ้านจากข้างนอก	ปกป้องทราฟฟิกบนเครือข่ายที่คุณควบคุมไม่ได้
ความพยายามในการตั้งค่า	หลายชั่วโมง บวกการดูแลต่อเนื่อง	ติดตั้งแอปและเข้าสู่ระบบ
ใช้หลัง CGNAT	ต้องมีวิธีแก้	ได้ ไม่มีอะไรเชื่อมต่อเข้ามา
ใครอัปเดตและดูแลความปลอดภัย	คุณ	ผู้ให้บริการ
คุณต้องไว้ใจใคร	ตัวคุณเองและฮาร์ดแวร์	ผู้ให้บริการ
ที่อยู่ที่เว็บไซต์เห็น	ที่อยู่บ้านของคุณ	ที่อยู่ของผู้ให้บริการ
เพดานความเร็ว	ความเร็วอัปโหลดที่บ้าน	ขึ้นกับผู้ให้บริการและเส้นทาง
ค่าใช้จ่าย	ฮาร์ดแวร์ ค่าไฟ และเวลาของคุณ	ค่าพาสหรือค่าสมัครสมาชิก
ถ้าเสียขณะเดินทาง	คุณแก้เอง มักต้องทำจากระยะไกล	ติดต่อทีมงาน

จับคู่เครื่องมือกับภารกิจ

นก ผู้ทำงานระยะไกลที่มี NAS นกเก็บไฟล์โปรเจกต์ไว้บน NAS ที่บ้านและอยากเข้าถึงจากคาเฟ่ VPN ที่บ้านเหมาะพอดี เมื่อเชื่อมต่อแล้ว แล็ปท็อปของเธอเห็น NAS เหมือนนั่งอยู่ในห้องนั่งเล่น เธอไม่ต้องเปิด NAS ออกอินเทอร์เน็ต

มาร์ก นักเดินทางบ่อย มาร์กกังวลเรื่อง Wi-Fi โรงแรมและสนามบินเป็นหลัก พาสแบบบริการเหมาะกว่า เขาติดตั้งแอป เข้าสู่ระบบ แล้วจบ ไม่มีอะไรที่บ้านที่อาจพังขณะเขาไม่อยู่

ลินา ใช้ทั้งสองอย่าง ลินาใช้ VPN ที่บ้านเข้าถึงไฟล์ และใช้พาสแบบเติมเงินสำหรับการท่องเว็บทั่วไปตอนเดินทาง เธอมองเป็นสองเครื่องมือกับสองภารกิจ บางคนส่งทราฟฟิกทั้งหมดผ่าน VPN ที่บ้านด้วย ซึ่งทำได้ แต่ทุกอย่างต้องวนกลับผ่านความเร็วอัปโหลดของบ้าน

ถ้าคุณต้องการปกป้องตัวเองบนเครือข่ายสาธารณะเท่านั้น คู่มือเรื่องการรักษาความปลอดภัยบน Wi-Fi สาธารณะครอบคลุมภาพรวมที่กว้างกว่า รวมถึงนิสัยที่สำคัญไม่แพ้เครื่องมือใด ๆ

เช็กลิสต์ความปลอดภัยและการดูแลสำหรับการตั้งเอง

ถ้าตัดสินใจตั้งเอง ให้ถือว่าเป็นบริการที่เปิดสู่อินเทอร์เน็ตเหมือนตัวอื่น ๆ

1. อัปเดตระบบปฏิบัติการและซอฟต์แวร์ VPN ให้ทันสมัย ควรเป็นอัตโนมัติ
2. ส่งต่อเฉพาะพอร์ต VPN พอร์ตเดียว ไม่ใช่หน้าผู้ดูแลระบบ
3. ใช้คู่คีย์หนึ่งชุดต่ออุปกรณ์ เพื่อเพิกถอนโทรศัพท์ที่หายได้โดยไม่กระทบเครื่องอื่น
4. จำกัดสิ่งที่ไคลเอนต์ VPN เข้าถึงได้ แทนที่จะให้ทุกเครื่องเข้าถึงทั้งเครือข่าย
5. ใช้ข้อมูลล็อกอินที่แข็งแรงไม่ซ้ำและการยืนยันหลายขั้นตอนบน NAS หรือ Pi
6. สำรองการตั้งค่าและคีย์ไว้ในที่ปลอดภัย
7. ทดสอบจากนอกเครือข่ายของคุณก่อนพึ่งพาขณะเดินทาง
8. ตรวจเงื่อนไขของผู้ให้บริการ เพราะบางแพ็กเกจที่พักอาศัยจำกัดการรันเซิร์ฟเวอร์

สำหรับแนวทางด้านความปลอดภัยของการเข้าถึงระยะไกลที่กว้างกว่านี้ NIST SP 800-46 ครอบคลุมเรื่องการทำงานทางไกลและการเข้าถึงระยะไกลอย่างลึกกว่า

ข้อจำกัดและสิ่งที่ควรระวัง

• ไม่มีเครื่องมือใดทำให้คุณนิรนาม VPN ที่บ้านผูกกิจกรรมของคุณกับครัวเรือน VPN แบบบริการย้ายความไว้วางใจไปที่ผู้ให้บริการ ไม่มีแบบไหนทำให้ระบุตัวตนไม่ได้
• คุณตรวจสอบนโยบายของผู้ให้บริการจากภายนอกไม่ได้ กับบริการสำเร็จรูป คุณพึ่งคำพูดและประวัติของผู้ให้บริการ กับการตั้งเอง คุณพึ่งตัวเอง
• ความเร็วอัปโหลดสำคัญ เมื่ออยู่นอกบ้าน ทุกอย่างไหลผ่านความเร็วอัปโหลดของคุณ
• กฎต่างกันตามประเทศและเครือข่าย ปฏิบัติตามกฎหมายและเงื่อนไขของเครือข่ายที่คุณใช้

สรุป

VPN ที่ตั้งเองเหมาะที่สุดกับการเข้าถึงอุปกรณ์ของคุณเอง เช่น NAS หรือโปรเจกต์ Raspberry Pi และต้องใช้เวลา การดูแล และเครือข่ายที่รับการเชื่อมต่อขาเข้า CGNAT อาจขวางได้ เว้นแต่คุณใช้วิธีแก้ VPN แบบบริการเหมาะที่สุดกับการปกป้องทราฟฟิกบนเครือข่ายที่คุณควบคุมไม่ได้ โดยไม่ต้องดูแลฮาร์ดแวร์ที่บ้าน หลายคนใช้ทั้งสองแบบ ให้ตัดสินใจก่อนว่างานของคุณคืออะไร แล้วค่อยเลือกเครื่องมือ

ถ้างานของคุณคืองานที่สอง หน้าราคาแสดงพาสเติมเงินที่มีอยู่