Site-to-Site VPN สำหรับบ้านและออฟฟิศเล็กคืออะไร

แอป VPN บนมือถือปกป้องอุปกรณ์เครื่องเดียว แต่บางสถานการณ์ไม่ได้เกี่ยวกับอุปกรณ์เครื่องใดเลย ครอบครัวหนึ่งอยากให้ที่เก็บรูปที่บ้านเข้าถึงได้จากบ้านพ่อแม่อีกฝั่งเมือง ร้านเล็ก ๆ อยากให้ระบบเก็บเงินคุยกับเครื่องพิมพ์และไฟล์ที่บ้านเจ้าของ นักออกแบบอยากให้เครือข่ายสตูดิโอกับห้องทำงานที่บ้านทำงานเหมือนอยู่ที่เดียวกัน เครื่องมือสำหรับงานเหล่านี้คือ Site-to-Site VPN อุโมงค์ที่เชื่อมเครือข่ายทั้งเครือข่ายเข้าด้วยกัน

บทความนี้อธิบายแนวคิดด้วยภาษาง่าย ๆ ชี้สิ่งที่ต้องวางแผนก่อนสร้าง ไล่ทางเลือกในการออกแบบหลัก และสรุปความผิดพลาดที่ทำให้ส่วนใหญ่ล้มเหลว เราไม่ให้ขั้นตอนตั้งค่าของเราเตอร์รุ่นใดโดยเฉพาะ เพราะเมนูต่างกันมาก และเราขอบอกจุดหนึ่งตั้งแต่แรกให้ชัด Site-to-Site VPN ไม่ใช่สิ่งเดียวกับบริการ VPN ที่ซื้อมาปกป้องการท่องเว็บ การสับสนสองอย่างนี้ทำให้เสียเวลาเปล่า

Site-to-Site VPN คืออะไร

ลองนึกถึงเครือข่ายส่วนตัวสองแห่ง เครือข่ายบ้านใช้ช่วงที่อยู่ช่วงหนึ่ง ออฟฟิศใช้อีกช่วง บนอินเทอร์เน็ตทั้งสองแยกจากกันและเข้าถึงอุปกรณ์ส่วนตัวของกันและกันไม่ได้ Site-to-Site VPN วางอุโมงค์เข้ารหัสระหว่างเราเตอร์หรือไฟร์วอลล์ของแต่ละที่ หลังจากนั้น

• โน้ตบุ๊กที่ออฟฟิศเปิดโฟลเดอร์แชร์บน NAS ที่บ้านด้วยที่อยู่ส่วนตัวได้
• เครื่องพิมพ์ที่บ้านใช้จากออฟฟิศได้
• โน้ตบุ๊กทั้งสองไม่ต้องรันซอฟต์แวร์ VPN ใด ๆ เราเตอร์ที่ปลายทั้งสองข้างเป็นผู้ทำอุโมงค์
• เฉพาะทราฟฟิกที่ส่งไปยังอีกที่เท่านั้นที่ผ่านอุโมงค์ ส่วนอื่นใช้อินเทอร์เน็ตตามปกติ

เราเตอร์ทั้งสองคือ เกตเวย์ แต่ละตัวรู้สองสิ่ง คือช่วงที่อยู่ของอีกที่ และวิธีไปถึงเกตเวย์อีกตัวผ่านอินเทอร์เน็ต เมื่อแพ็กเก็ตมีปลายทางเป็นเครือข่ายอีกฝั่ง เกตเวย์ในพื้นที่จะเข้ารหัส ส่งผ่านอินเทอร์เน็ตไปยังเกตเวย์ตัวนั้น ซึ่งถอดรหัสและส่งต่อ หลักการเบื้องหลังอุโมงค์สไตล์ IPsec อธิบายไว้ในคู่มือ NIST เรื่อง IPsec VPN และทางเลือกน้ำหนักเบารุ่นใหม่ เช่น WireGuard ก็ทำหน้าที่เดียวกันได้

ต่างจากการตั้ง VPN แบบอื่นอย่างไร

คนมักใช้คำว่า "VPN" กับสามสิ่งที่ต่างกันมาก

ประเภท	สิ่งที่เชื่อมต่อ	การใช้งานทั่วไป
แอป VPN สำหรับผู้บริโภค	อุปกรณ์หนึ่งเครื่องกับเซิร์ฟเวอร์ของผู้ให้บริการ	ปกป้องทราฟฟิกบน Wi-Fi สาธารณะ ความเป็นส่วนตัวจากเครือข่ายท้องถิ่น
VPN เข้าถึงระยะไกล	อุปกรณ์หนึ่งเครื่องกับเครือข่ายส่วนตัวหนึ่งแห่ง	พนักงานเชื่อมเข้าออฟฟิศหรือบ้าน
Site-to-Site VPN	เครือข่ายทั้งเครือข่ายกับอีกเครือข่ายหนึ่ง	สองสถานที่ใช้อุปกรณ์และไฟล์ร่วมกัน
Mesh VPN	อุปกรณ์จำนวนมากเชื่อมกันโดยตรง	เข้าถึงอุปกรณ์ของตัวเองโดยไม่ต้องเปิดพอร์ต (ดู Mesh VPN อธิบาย)

แพ็กสำหรับบริการ VPN สำหรับผู้บริโภคอยู่ในแถวแรก ออกแบบมาเชื่อมอุปกรณ์ของคุณกับผู้ให้บริการ ไม่ได้ออกแบบมาเชื่อมบ้านกับร้านให้เป็นเครือข่ายเดียว ถ้าต้องการแบบนั้น คุณสร้างการเชื่อมระหว่างเกตเวย์ของคุณเอง สำหรับความต่างระหว่าง VPN ธุรกิจและส่วนบุคคล ดู VPN สำหรับธุรกิจ เทียบกับ VPN ส่วนบุคคล และสำหรับข้อแลกเปลี่ยนของการตั้งเอง ดู VPN ที่ตั้งเอง เทียบกับ VPN เชิงพาณิชย์

คำถามที่ต้องตอบก่อนสร้าง

ความล้มเหลวของ Site-to-Site ส่วนใหญ่มาจากการข้ามขั้นวางแผน ใช้เวลาหนึ่งเย็นกับคำถามเหล่านี้

1. อะไรต้องเข้าถึงได้ ระบุสิ่งของจริง เช่น NAS เครื่องพิมพ์ เครื่องเก็บเงิน เครื่องบันทึกกล้อง รายการสั้น ๆ ทำให้การออกแบบเรียบง่ายและกฎไฟร์วอลล์รัดกุม
2. ใครเชื่อมต่อและเมื่อไร การเชื่อมที่เปิดตลอดเหมาะกับร้านที่ใช้เครื่องพิมพ์ร่วม ส่วนการเชื่อมที่ใช้สัปดาห์ละครั้งเพื่อสำรองข้อมูลสามารถเริ่มเมื่อต้องการ
3. อุปกรณ์ไหนสร้างอุโมงค์ได้ เราเตอร์และไฟร์วอลล์จำนวนมากรองรับอุโมงค์บางชนิด เราเตอร์ตามบ้านมักไม่รองรับ ตรวจสเปกของทั้งสองฝั่ง และดูว่ามีเทคโนโลยีอุโมงค์ร่วมกันอย่างน้อยหนึ่งแบบหรือไม่
4. แต่ละฝั่งจะหากันเจออย่างไร เกตเวย์อย่างน้อยหนึ่งตัวต้องเข้าถึงได้จากอินเทอร์เน็ต ที่อยู่สาธารณะคงที่ทำให้ง่าย อินเทอร์เน็ตบ้านมักเปลี่ยนที่อยู่ ซึ่งแก้ได้ด้วยชื่อ DNS แบบไดนามิกที่ชี้ไปยังที่อยู่ปัจจุบันเสมอ
5. ช่วงที่อยู่ต่างกันหรือไม่ นี่คือเรื่องวางแผนที่สำคัญที่สุดเพียงข้อเดียว อธิบายในหัวข้อถัดไป
6. ใครทำอะไรได้บ้าง ตัดสินใจว่าออฟฟิศเข้าถึงทุกอย่างที่บ้านได้ หรือเฉพาะ NAS แล้วเขียนเป็นกฎไฟร์วอลล์
7. ใครจะดูแล การเชื่อมที่คนเดียวเข้าใจเป็นความเสี่ยง จดบันทึกไว้

แผนที่อยู่ IP สาเหตุที่พบบ่อยที่สุดของปัญหา

เครือข่ายบ้านและออฟฟิศเล็กเกือบทั้งหมดใช้ช่วงจากบล็อกส่วนตัวที่กำหนดใน RFC 1918 ค่าเริ่มต้นที่พบบ่อยของเราเตอร์บ้านคือ 192.168.0.0/24 หรือ 192.168.1.0/24 ถ้าทั้งบ้านและร้านใช้ 192.168.1.0/24 อุโมงค์จะไม่รู้ว่า "192.168.1.20" หมายถึงเครื่องพิมพ์ที่บ้านหรือเครื่องเก็บเงินที่ร้าน การส่งต่อจึงพัง

หลักของแผนที่เรียบร้อย

• ให้แต่ละที่ใช้ช่วงของตัวเอง เช่น บ้านใช้ 192.168.10.0/24 และร้านใช้ 192.168.20.0/24
• เปลี่ยนช่วงก่อนสร้าง ไม่ใช่หลังสร้าง การเปลี่ยนช่วงภายหลังหมายถึงต้องแก้ทุกอุปกรณ์ที่ใช้ที่อยู่คงที่
• เลี่ยงค่าเริ่มต้นที่พบบ่อย เช่น 192.168.0.x และ 192.168.1.x ทั้งสองฝั่ง เพราะเครือข่ายของแขกและโรงแรมจำนวนมากใช้ช่วงนี้ ซึ่งก่อปัญหาหากคุณเพิ่ม VPN เข้าถึงระยะไกลทับอีกชั้น
• เผื่อที่ไว้ หากอาจมีที่ที่สามในอนาคต กันช่วงไว้เลย
• จดไว้ ตารางเล็ก ๆ ที่ระบุชื่อที่ ช่วงที่อยู่ ที่อยู่เกตเวย์ และวัตถุประสงค์ ก็เพียงพอ

หากเครือข่ายหนึ่งในสองแห่งเปลี่ยนที่อยู่ไม่ได้ เช่น เป็นของเจ้าของห้องเช่า การออกแบบแบบอื่น เช่น เครื่องมือ mesh หรือซอฟต์แวร์รายเครื่อง อาจง่ายกว่า

การเข้าถึงกัน ที่อยู่สาธารณะ ที่อยู่ที่เปลี่ยน และที่อยู่ร่วมของผู้ให้บริการ

เกตเวย์ต้องหากันเจอ

• ที่อยู่สาธารณะคงที่ในหนึ่งหรือทั้งสองฝั่ง ง่ายที่สุด ฝั่งที่มีที่อยู่คงที่รอรับการเชื่อมต่อ อีกฝั่งเป็นฝ่ายเริ่ม
• ที่อยู่สาธารณะที่เปลี่ยนไปมา ใช้ชื่อ DNS แบบไดนามิก เราเตอร์และไฟร์วอลล์จำนวนมากอัปเดตให้อัตโนมัติได้ เผื่อเวลาขาดช่วงหนึ่งถึงสองนาทีเมื่อที่อยู่เปลี่ยน
• รับการเชื่อมต่อขาเข้าไม่ได้ ผู้ให้บริการอินเทอร์เน็ตบางรายให้ลูกค้าจำนวนมากอยู่หลังที่อยู่ร่วม โดยใช้บล็อกที่อธิบายใน RFC 6598 ลูกค้าจึงรับการเชื่อมต่อขาเข้าไม่ได้ และการเชื่อมตรงระหว่างสองบ้านแบบนั้นจะใช้ไม่ได้ ทางเลือกคือสอบถามผู้ให้บริการเรื่องที่อยู่สาธารณะ วางเซิร์ฟเวอร์ตัวกลางเล็ก ๆ ในที่ที่มีที่อยู่สาธารณะ หรือใช้เครื่องมือ mesh ที่จัดการการเชื่อมต่อผ่านบริการประสานงาน
• Double NAT ถ้าเกตเวย์อยู่หลังกล่องของ ISP คุณต้องส่งต่อพอร์ตของอุโมงค์ไปที่เกตเวย์ หรือตั้งกล่อง ISP เป็นโหมดบริดจ์ แนวคิดอธิบายใน Port Forwarding ของ VPN อธิบาย

ฝั่งที่รับการเชื่อมต่อต้องเปิดเฉพาะพอร์ตที่อุโมงค์ใช้ และจำกัดเท่าที่เทคโนโลยีอุโมงค์ต้องการ

Route และกฎไฟร์วอลล์

เมื่ออุโมงค์ขึ้นแล้ว ยังมีอีกสองเรื่องที่ต้องถูก

Route เกตเวย์แต่ละตัวต้องรู้ว่าช่วงที่อยู่ของอีกที่ไปทางอุโมงค์ ในหลายระบบ สิ่งนี้ถูกเพิ่มอัตโนมัติเมื่อกำหนดเครือข่ายที่อนุญาต ในบางระบบคุณต้องเพิ่ม static route หากฝั่งหนึ่งขาด route ทราฟฟิกจะออกไปทางหนึ่งแต่คำตอบไม่กลับมา ดูเหมือน "อุโมงค์ขึ้นแต่ใช้ไม่ได้"

กฎไฟร์วอลล์ ปฏิบัติต่ออุโมงค์เหมือนอินเทอร์เฟซเครือข่ายใหม่ เริ่มจากไม่อนุญาตอะไร แล้วอนุญาตเฉพาะที่ตัดสินใจไว้ในรายการวางแผน ตัวอย่าง

• ร้านไปบ้าน อนุญาตเฉพาะบริการแชร์ไฟล์ของ NAS
• บ้านไปร้าน อนุญาตเครื่องพิมพ์และหน้าเว็บของเครื่องเก็บเงิน
• อย่างอื่นทั้งหมด บล็อกและบันทึกบนอุปกรณ์ของคุณเอง

ข้อนี้สำคัญเพราะ Site-to-Site เชื่อมเครือข่ายที่อาจมีอุปกรณ์ความปลอดภัยอ่อน กล้องเก่า สมาร์ททีวี หรือมือถือของแขก หากเครือข่ายหนึ่งถูกเจาะ อุโมงค์ที่เปิดกว้างให้ผู้บุกรุกมีเส้นทางเข้าอีกเครือข่าย มุมมองสมัยใหม่เรื่องการจำกัดความไว้ใจภายในเครือข่ายพูดถึงใน Zero Trust เทียบกับ VPN

สามสถานการณ์จริง

สองบ้านในครอบครัวเดียวกัน ครอบครัวคุณสมศักดิ์เก็บ NAS รูปของครอบครัวที่บ้าน ส่วนคุณตาคุณยายอยู่อีกฝั่งเมือง อุโมงค์ระหว่างเราเตอร์สองตัวทำให้แท็บเล็ตของคุณตาคุณยายเปิดดู NAS ผ่านที่อยู่ส่วนตัวได้ ครอบครัวอนุญาตเฉพาะการแชร์ไฟล์จากฝั่งคุณตาคุณยาย เมื่อที่อยู่อินเทอร์เน็ตของบ้านคุณตาคุณยายเปลี่ยน ชื่อ DNS แบบไดนามิกทำให้การเชื่อมยังอยู่

ร้านเล็กกับบ้านเจ้าของ คุณพิมพ์ทำร้านเบเกอรี่ ระบบเก็บเงินอยู่ที่ร้าน ส่วนสเปรดชีตบัญชีอยู่ในพีซีที่บ้าน เธอเชื่อมสองเครือข่ายเพื่อให้พีซีที่บ้านอ่านไฟล์ยอดขายรายวันจากโฟลเดอร์แชร์ที่ร้านได้ โดยมีกฎอนุญาตเฉพาะโฟลเดอร์นั้น ร้านกับบ้านใช้ช่วงที่อยู่ต่างกัน ซึ่งเธอวางแผนไว้ก่อนซื้อไฟร์วอลล์

สตูดิโอที่มีห้องว่าง นักออกแบบสองคนใช้ไฟล์โปรเจกต์ที่เก็บที่สตูดิโอ คนหนึ่งทำงานที่บ้านสามวันต่อสัปดาห์ Site-to-Site ใช้ได้ แต่การเชื่อมระยะไกลจากโน้ตบุ๊กเครื่องเดียวง่ายกว่า เพราะมีเครื่องเดียวที่ต้องเข้าถึงสตูดิโอ การเลือกเครื่องมือที่เล็กกว่าช่วยลดภาระการดูแล นี่เป็นเครื่องเตือนว่า Site-to-Site มีไว้เชื่อมเครือข่าย ไม่ใช่สำหรับโน้ตบุ๊กของคนคนเดียว

ข้อผิดพลาดที่พบบ่อย

ข้อผิดพลาด	ผลที่ตามมา	วิธีที่ดีกว่า
ทั้งสองที่ใช้ 192.168.1.0/24	การส่งต่อสับสน	ให้แต่ละที่ใช้ช่วงไม่ซ้ำกันก่อนสร้าง
อนุญาตทุกอย่างผ่านอุโมงค์	อุปกรณ์อ่อนเครื่องเดียวทำให้ทั้งสองเครือข่ายเสี่ยง	อนุญาตเฉพาะบริการที่ระบุไว้
ลืมอัปเดตเฟิร์มแวร์เราเตอร์	ช่องโหว่ที่ทราบแล้วยังเปิดอยู่	อัปเดตเกตเวย์ทั้งสองตามกำหนด
ใช้การสมัคร VPN สำหรับผู้บริโภคเป็นตัวเชื่อม	เชื่อมเครือข่ายของคุณไม่ได้	สร้างการเชื่อมระหว่างเกตเวย์ของคุณเอง
ไม่ตรวจสอบและไม่จดบันทึก	ไม่มีใครรู้เมื่อการเชื่อมล่ม	จดบันทึกและมีการเช็กสถานะง่าย ๆ
คีย์ร่วมที่อ่อนหรือใช้รหัสผ่านซ้ำ	ตัวอุโมงค์เองกลายเป็นจุดอ่อน	ใช้คีย์สุ่มยาว ๆ และเก็บเป็นความลับ
เปิดพอร์ตเพิ่ม "เพื่อทดสอบ"	พื้นที่เสี่ยงใหญ่ขึ้น	เปิดเฉพาะพอร์ตของอุโมงค์ และปิดกฎทดสอบ

เมื่อเครื่องมืออื่นเหมาะกว่า

การเชื่อมแบบ Site-to-Site ทรงพลัง แต่ไม่ได้พอดีขนาดเสมอไป

• คนเดียว โน้ตบุ๊กเครื่องเดียว การเชื่อมระยะไกลหรือเครื่องมือ mesh ง่ายกว่า
• อุปกรณ์ที่เดินทาง การเชื่อมระหว่างสองอาคารไม่ช่วยมือถือที่สนามบิน ให้ใช้แอปบนอุปกรณ์ ลูกค้า XPASS ใช้แอป VPNclient ที่ฟรีได้ ดูที่ หน้าดาวน์โหลด พร้อมข้อมูลล็อกอินบนหน้า My Pass
• ข้อมูลธุรกิจที่ละเอียดอ่อน ธุรกิจที่มีหน้าที่ตามกฎหมายหรือสัญญาควรใช้อุปกรณ์ที่มีการสนับสนุนจากมืออาชีพและขอคำปรึกษา แทนการประกอบเองแบบงานอดิเรก
• ส่งไฟล์เป็นครั้งคราว บริการแชร์บนคลาวด์ที่ป้องกันอย่างเหมาะสมอาจง่ายกว่าอุโมงค์ถาวร

และจำสิ่งที่อุโมงค์ทำไม่ได้ ไม่ได้หยุดฟิชชิง มัลแวร์ หรือรหัสผ่านที่ถูกขโมย ไม่ได้ใช้แทนการสำรองข้อมูล ไฟล์ที่ถูกลบที่ฝั่งหนึ่งอาจหายไปจากอีกฝั่งด้วยถ้าโฟลเดอร์แชร์เขียนได้

สรุป

Site-to-Site VPN เชื่อมเครือข่ายส่วนตัวสองแห่งผ่านอุโมงค์เข้ารหัสระหว่างเกตเวย์สองตัว ให้อุปกรณ์ที่แต่ละฝั่งเข้าถึงอุปกรณ์ที่เลือกของอีกฝั่งได้ ความสำเร็จขึ้นกับการวางแผนเป็นหลัก คือช่วงที่อยู่ไม่ซ้ำกัน เกตเวย์อย่างน้อยหนึ่งตัวที่เข้าถึงได้ route ที่ถูกต้อง และกฎไฟร์วอลล์ที่รัดกุมซึ่งอนุญาตเฉพาะสิ่งที่ระบุไว้ มันเป็นเครื่องมือคนละอย่างกับแอป VPN บนมือถือ และการสมัคร VPN สำหรับผู้บริโภคไม่ใช่วิธีสร้างมัน ถ้าความต้องการเล็กกว่านี้ ให้เลือกเครื่องมือที่เล็กกว่า

หากต้องการแพ็ก VPN ส่วนตัวแบบง่ายสำหรับอุปกรณ์ของคุณควบคู่กันไป หน้าราคา พร้อมให้ดูตามสะดวก