SSTP VPN คืออะไร? ข้อดีและข้อเสีย

ในบรรดาโปรโตคอล VPN ที่คุณอาจเจอในเมนูตั้งค่า SSTP เป็นตัวที่แปลกแยกที่สุด มันไม่ได้มาจากโลกโอเพนซอร์ส หรือจากคณะกรรมการมาตรฐานที่สร้างอุโมงค์อเนกประสงค์ แต่ Microsoft เป็นผู้ออกแบบ มีในตัว Windows และซ่อนอุโมงค์ไว้ในการเชื่อมต่อเข้ารหัสแบบเดียวกับที่เบราว์เซอร์ใช้กับเว็บไซต์ปลอดภัย การออกแบบนี้ให้จุดแข็งจริงและจุดอ่อนที่ไม่เหมือนใคร

บทความนี้ตอบคำถามเดียวคือ SSTP VPN คืออะไร และเหมาะกับสิ่งที่คุณอยากทำหรือไม่ เราจะดูหลักการทำงาน สิ่งที่ทำได้ดี จุดที่ติดขัด การเทียบกับตัวเลือกอื่นในทางปฏิบัติ และวิธีแก้ปัญหา หากคำว่า "โปรโตคอล" ยังใหม่ ให้อ่านเรื่อง โปรโตคอล VPN คืออะไร ก่อน

SSTP ย่อมาจากอะไร และมาจากไหน

SSTP คือ Secure Socket Tunneling Protocol Microsoft เปิดตัวมาพร้อม Windows Vista Service Pack 1 และ Windows Server 2008 ในยุคที่ผู้ดูแลระบบจำนวนมากเจอปัญหาทราฟฟิก VPN ถูกไฟร์วอลล์และเราเตอร์ตามบ้านที่จัดการโปรโตคอลอุโมงค์รุ่นเก่าไม่ดีบล็อกไว้ คำตอบของ Microsoft คือทำให้ VPN หน้าตาเหมือนทราฟฟิกเว็บปลอดภัยทั่วไป

ผลลัพธ์คือโปรโตคอลที่ยึด Windows เป็นศูนย์กลาง ไคลเอนต์ติดมากับ Windows บทบาทเซิร์ฟเวอร์เป็นส่วนหนึ่งของฟีเจอร์รีโมตแอ็กเซสของ Windows Server และข้อกำหนดเผยแพร่โดย Microsoft ส่วนการรองรับในระบบอื่นส่วนใหญ่มาจากซอฟต์แวร์ของบุคคลที่สามและชุมชน

SSTP ทำงานอย่างไร แบบภาษาง่ายๆ

การเชื่อมต่อ SSTP ซ้อนกันสามสิ่งที่คุ้นเคย

1. TCP พอร์ต 443 ไคลเอนต์เปิดการเชื่อมต่อ TCP ปกติไปยังเซิร์ฟเวอร์ที่พอร์ตเดียวกับ HTTPS
2. TLS ทับข้างบน สองฝั่งทำ TLS Handshake เซิร์ฟเวอร์พิสูจน์ตัวด้วยใบรับรอง และสร้างช่องทางเข้ารหัส เป็นเทคโนโลยีตระกูลเดียวกับที่ปกป้องเว็บไซต์ปลอดภัย อธิบายไว้ในข้อกำหนด TLS 1.3 และในภาพรวม HTTPS ของ Cloudflare
3. PPP ภายในช่อง TLS ในช่องนั้น ไคลเอนต์กับเซิร์ฟเวอร์รันเซสชัน PPP ซึ่งจัดการล็อกอินของผู้ใช้ (ชื่อผู้ใช้กับรหัสผ่าน หรือใบรับรอง) และพาทราฟฟิก IP ของคุณ

ส่วนเสริมที่ฉลาดเรียกว่า Cryptographic Binding ผูกการล็อกอิน PPP ด้านในเข้ากับเซสชัน TLS ด้านนอก ป้องกันไม่ให้คนกลางส่งต่อการล็อกอินผ่านอุโมงค์อื่น เพราะค่าที่ผูกไว้จะไม่ตรงกัน

ทราฟฟิกของคุณจึงถูกห่อใน PPP ห่อใน TLS แล้วห่อใน TCP จากภายนอกดูเหมือนเซสชัน HTTPS ที่เปิดค้างนานๆ แม้รูปแบบแพ็กเก็ตและพฤติกรรมของเซิร์ฟเวอร์จะต่างจากเว็บไซต์ปกติ และผู้ดูแลเครือข่ายสามารถจำแนกและจัดการได้หากต้องการ

จุดแข็งของ SSTP

เข้ากับไฟร์วอลล์ที่เปิดทราฟฟิกเว็บ

เครือข่ายองค์กร โรงแรม โรงเรียน และจุด Wi-Fi สาธารณะจำนวนมากอนุญาต HTTPS ขาออก เพราะจำเป็นต่อการท่องเว็บทั่วไป โปรโตคอลที่ใช้พอร์ต 443 จึงมักเชื่อมต่อได้ในที่ที่อุโมงค์แบบ UDP ถูกบล็อกหรือจัดการไม่ดี นี่คือความสะดวกในการติดตั้งสำหรับการเข้าถึงระยะไกลที่ได้รับอนุญาต เช่น บริษัทต้องการให้พนักงานเข้าเซิร์ฟเวอร์ออฟฟิศ ไม่ใช่วิธีเลี่ยงกฎของเครือข่าย และไม่ควรมองเป็นเช่นนั้น เพราะผู้ดูแลยังตรวจและจำกัดได้

ใช้ความปลอดภัยที่ผ่านการศึกษามาอย่างดี

TLS เป็นหนึ่งในโปรโตคอลที่ถูกตรวจสอบมากที่สุด เมื่อใช้ TLS เวอร์ชันใหม่ ใบรับรองเซิร์ฟเวอร์ที่ใช้ได้ และรหัสลับที่แข็งแรง ความปลอดภัยของชั้นนอกก็วางอยู่บนรากฐานที่เติบโตเต็มที่ ส่วนวิธีที่ใบรับรองสร้างตัวตน ดูได้ในภาพรวมของ Let's Encrypt ที่ระบุไว้ในรายการอ้างอิง

มีในตัว Windows

บน Windows ไม่ต้องใช้ไคลเอนต์เพิ่ม การตั้งค่า VPN ในตัวเชื่อมต่อกับเซิร์ฟเวอร์ SSTP ได้เลย สะดวกกับโน้ตบุ๊กของบริษัทที่ถูกจำกัดการติดตั้งซอฟต์แวร์ หน้าสนับสนุนของ Microsoft เรื่องการเชื่อมต่อ VPN ใน Windows อธิบายขั้นตอนทั่วไปของการเพิ่มการเชื่อมต่อ VPN

เชื่อมกับระบบยืนยันตัวตนของ Windows

องค์กรที่ใช้ Windows Server อยู่แล้วสามารถใช้ SSTP ร่วมกับบัญชีผู้ใช้ ใบรับรอง และนโยบายเดิม ผู้ดูแลจึงไม่ต้องสร้างระบบตัวตนแยกอีกชุด

ผู้ดูแลเปิดให้ใช้ได้ไม่ซับซ้อน

เพราะใช้แค่พอร์ต 443 การเปิดสู่อินเทอร์เน็ตจึงยุ่งยากน้อยกว่าการจัดการหลายพอร์ต UDP และค่า NAT พิเศษ บางองค์กรวางเซิร์ฟเวอร์หลัง Reverse Proxy หรือ Load Balancer ที่รองรับ HTTPS อยู่แล้ว

จุดอ่อนของ SSTP

TCP ซ้อน TCP อาจช้า

นี่คือข้อเสียทางเทคนิคที่รู้จักกันดีที่สุด อุโมงค์วิ่งบน TCP และทราฟฟิกด้านในมักเป็น TCP เช่นกัน เช่นการเปิดเว็บหรือโอนไฟล์ สองชั้นนี้ต่างพยายามตรวจจับแพ็กเก็ตหายและส่งซ้ำ เมื่อเครือข่ายไม่เสถียร เช่น Wi-Fi สัญญาณอ่อนหรือเครือข่ายมือถือที่หนาแน่น สองชั้นอาจตอบสนองต่อการสูญหายเดียวกัน ทำให้สะดุดและความเร็วตกฮวบ บางคนเรียกว่า "TCP meltdown" บนสายแลนที่สะอาดอาจแทบไม่เห็น แต่บนลิงก์ที่แย่ ความต่างจากอุโมงค์แบบ UDP ชัดเจน บทความ ทำไมความเร็วอินเทอร์เน็ตเปลี่ยนเมื่อใช้ VPN อธิบายปัจจัยอื่นที่กระทบความเร็ว

เป็นเทคโนโลยีของ Windows เป็นหลัก

มีไคลเอนต์สำหรับระบบอื่น แต่มาจากบุคคลที่สามและอาจขาดฟีเจอร์ อัปเดต หรือความประณีต การรองรับบนมือถือจำกัดเมื่อเทียบกับโปรโตคอลใหม่ ถ้าคุณใช้ทั้งโทรศัพท์ แท็บเล็ต Mac และเครื่อง Windows ปนกัน SSTP แทบไม่ใช่คำตอบที่ง่ายที่สุด

ควบคุมโดยผู้ผลิตรายเดียว

ข้อกำหนดเผยแพร่ แต่การพัฒนานำโดยบริษัทเดียว และโปรโตคอลนี้ไม่ได้ผ่านการตรวจสอบจากชุมชนหรือเติบโตเป็นระบบนิเวศเหมือนดีไซน์แบบเปิด นั่นไม่ได้ทำให้ไม่ปลอดภัย แต่หมายถึงมีการพัฒนาโดยผู้อื่นน้อยกว่า

การจัดการใบรับรองเป็นภาระของคุณ

เซิร์ฟเวอร์ SSTP ต้องมีใบรับรองที่ใช้ได้ โดยชื่อต้องตรงกับที่อยู่ที่ไคลเอนต์ใช้เป๊ะ ใบรับรองหมดอายุ ชื่อไม่ตรง หรือเซิร์ฟเวอร์ตรวจการเพิกถอนเข้าไม่ได้ เป็นสาเหตุหลักที่ทำให้เชื่อมต่อไม่ติด

ถูกจำแนกและจัดการได้

เนื่องจากรูปแบบของเซสชัน SSTP ต่างจากการท่องเว็บทั่วไป ผู้ดูแลที่ใช้การตรวจแพ็กเก็ตเชิงลึกสามารถตรวจพบและใช้นโยบายได้ การใช้พอร์ต 443 ไม่ได้ทำให้อุโมงค์ล่องหน และไม่ได้ออกแบบมาเช่นนั้น

ขึ้นกับสุขภาพของเซิร์ฟเวอร์

เซิร์ฟเวอร์ Windows ที่รันบทบาทนี้ต้องติดตั้งแพตช์เหมือนระบบที่เปิดสู่อินเทอร์เน็ตทั่วไป เซิร์ฟเวอร์รีโมตแอ็กเซสที่ไม่อัปเดตคือเป้าหมายจริง

เทียบ SSTP กับแนวทางอื่น

คุณสมบัติ	SSTP	OpenVPN บน TCP	WireGuard	IKEv2/IPsec
การขนส่ง	TCP	TCP หรือ UDP	UDP	UDP
พอร์ตทั่วไป	443	ตั้งได้ มักเป็น 443 หรือ 1194	ตั้งได้	500 และ 4500
มีในตัว Windows	มี	ไม่มี ต้องใช้ไคลเอนต์	ต้องใช้ไคลเอนต์	มี
มีในระบบอื่น	โดยทั่วไปไม่มี	ไม่มี	เพิ่มขึ้นผ่านแอป	มักมี
รับมือการสลับเครือข่าย	ไม่ดี	ปานกลาง	ดี	ดี
ทำงานได้ดีบนลิงก์ที่แพ็กเก็ตหาย	อ่อนกว่า	อ่อนกว่าเมื่อใช้ TCP	แข็งแรง	แข็งแรง
ต้องมีใบรับรองเซิร์ฟเวอร์	ใช่	ใช่ (โดยทั่วไป)	ไม่ ใช้กุญแจ	ใช่ (โดยทั่วไป)

ถ้าอยากดูทางเลือกแบบเปิดสองตัวใกล้ๆ อ่าน WireGuard กับ OpenVPN ภาพใหญ่คือ SSTP แลกประสิทธิภาพดิบและการใช้ข้ามแพลตฟอร์มกับการติดตั้งง่ายและรองรับ Windows ในตัว

ใครยังควรพิจารณา SSTP

สถานการณ์ที่เป็นจริง

ออฟฟิศเล็กที่มีเซิร์ฟเวอร์ Windows สำนักงานบัญชีที่มีโน้ตบุ๊ก Windows ห้าเครื่องอยากให้พนักงานเปิดโฟลเดอร์ร่วมจากที่บ้าน ผู้ดูแลรัน Windows Server อยู่แล้ว คุมทุกเครื่อง และต้องการโปรโตคอลที่ใช้ได้โดยไม่ติดตั้งซอฟต์แวร์เพิ่ม SSTP จึงสมเหตุสมผล

ที่ปรึกษาที่เดินทางด้วยเครื่อง Windows ขององค์กร ที่ปรึกษาใช้โน้ตบุ๊กที่บริษัทแจก ย้ายระหว่างลูกค้ากับโรงแรม ฝ่าย IT ตั้งการเชื่อมต่อ SSTP ไว้ ใช้ได้เพราะบริษัทตั้งใจอนุญาต หากเครือข่ายหนึ่งบล็อก ที่ปรึกษาควรติดต่อ IT ไม่ใช่พยายามหาทางอ้อมข้ามข้อจำกัด

บ้านที่ใช้อุปกรณ์หลากหลาย ครอบครัวที่มี iPhone แท็บเล็ต Android Mac และพีซี Windows อยากได้ระบบเดียวที่ง่าย SSTP จะบังคับให้เลือกไคลเอนต์ที่ลำบากกับอุปกรณ์ส่วนใหญ่ แอปทั่วไปง่ายกว่า

คนอดิเรกที่มีเซิร์ฟเวอร์เอง ผู้ที่รันเซิร์ฟเวอร์ Windows ไว้เรียนรู้ใช้ SSTP ทดลองเรื่องใบรับรองและ TLS ได้ แต่สำหรับการใช้ยาวที่บ้าน โปรโตคอลเปิดที่เบากว่ามักดูแลง่ายกว่า

แก้ปัญหา SSTP ที่พบบ่อย

SSTP ที่ล้มเหลวส่วนใหญ่มาจากใบรับรองหรือเส้นทางเครือข่าย ไล่ตามลำดับ

1. ยืนยันอินเทอร์เน็ตพื้นฐาน เปิดเว็บโดยไม่ใช้ VPN เพื่อตัดเรื่องเน็ตล่มทั่วไป
2. ตรวจชื่อเซิร์ฟเวอร์ ชื่อที่พิมพ์ต้องตรงกับใบรับรอง การใช้หมายเลข IP ขณะที่ใบรับรองออกให้ชื่อโฮสต์ ทำให้เกิดข้อผิดพลาดชื่อไม่ตรง
3. ตรวจวันและเวลา นาฬิกาผิดทำให้ใบรับรองที่ถูกต้องดูเหมือนหมดอายุหรือยังไม่ถึงเวลา
4. ดูรหัสข้อผิดพลาดของใบรับรอง ใน Windows รหัสที่ขึ้นต้น 0x800B มักเกี่ยวกับใบรับรอง เช่น 0x800B0109 มักหมายถึงไม่เชื่อถือผู้ออก 0x800B010F หมายถึงชื่อไม่ตรง และ 0x800B0101 หมายถึงใบรับรองอยู่นอกช่วงที่ใช้ได้
5. ตรวจการเข้าถึงข้อมูลเพิกถอน Windows อาจพยายามยืนยันว่าใบรับรองไม่ถูกเพิกถอน หากเข้าเซิร์ฟเวอร์เพิกถอนไม่ได้ การเชื่อมต่ออาจล้มเหลวด้วยข้อผิดพลาดอย่าง 0x80092013
6. ทดสอบจากเครือข่ายอื่น ถ้าใช้ได้ที่อื่น เครือข่ายแรกอาจกรองการเชื่อมต่อ
7. ตรวจการตั้งค่า TLS เซิร์ฟเวอร์เก่าอาจมีแค่ TLS เวอร์ชันเก่าที่ไคลเอนต์สมัยใหม่ปฏิเสธ การอัปเดตเซิร์ฟเวอร์คือทางแก้ที่ถูก
8. ตรวจเซิร์ฟเวอร์ ให้แน่ใจว่าบทบาทรีโมตแอ็กเซสกำลังทำงาน ใบรับรองผูกกับตัวรับฟังที่ถูกต้อง และไฟร์วอลล์อนุญาตพอร์ต 443

คู่มือ ข้อผิดพลาด VPN บน Windows ที่พบบ่อย ครอบคลุมรหัสตัวเลขอย่าง 809, 789 และ 691 และคู่มือตั้งค่า Windows ในศูนย์ช่วยเหลืออธิบายขั้นตอนปกติเมื่อใช้แอป

เช็กลิสต์สั้นๆ สำหรับผู้ดูแลระบบ

หากคุณดูแลเซิร์ฟเวอร์ SSTP นิสัยเหล่านี้ป้องกันเหตุส่วนใหญ่ได้

• ใช้ใบรับรองจากผู้ออกที่เชื่อถือได้ พร้อมชื่อโฮสต์ที่ไคลเอนต์จะใช้จริง
• ตั้งเตือนในปฏิทินอย่างน้อยหนึ่งเดือนก่อนใบรับรองหมดอายุ
• อัปเดตเซิร์ฟเวอร์ให้ทันสมัยเสมอ และจำกัดการเข้าถึงเพื่อจัดการ
• ใช้ TLS เวอร์ชันใหม่ และปิดเวอร์ชันเก่า
• ให้ใช้บัญชีรายคนและรหัสผ่านที่แข็งแรง ควรมีปัจจัยที่สอง
• เฝ้าดูการล็อกอินที่ล้มเหลว
• จดบันทึกการตั้งค่า และทดสอบจากเครื่องใหม่ทุกไม่กี่เดือน
• วางแผนว่าจะย้ายอย่างไรเมื่อความต้องการอุปกรณ์เปลี่ยน

ความเข้าใจผิดที่พบบ่อย

"SSTP ล่องหนเพราะใช้พอร์ต 443" ดูเหมือน HTTPS เมื่อมองผ่านๆ แต่ผู้ดูแลจำแนกและจัดการได้

"เร็วที่สุดเพราะใช้พอร์ตเว็บ" พอร์ตไม่เกี่ยวกับความเร็ว การออกแบบแบบ TCP ซ้อน TCP มักทำให้ช้ากว่าในเครือข่ายที่ไม่ดี

"ใช้ได้กับทุกอย่าง" การรองรับในตัวมีเฉพาะ Windows แพลตฟอร์มอื่นพึ่งเครื่องมือของบุคคลที่สาม

"ใบรับรองที่ถูกต้องแปลว่าผู้ให้บริการน่าไว้ใจ" ใบรับรองพิสูจน์ว่าคุณเชื่อมต่อถึงเซิร์ฟเวอร์ตามชื่อที่ระบุ ไม่ได้พิสูจน์ว่าใครเป็นคนรันหรือเขาทำอะไรกับทราฟฟิกของคุณ

สรุป

SSTP VPN พาเซสชัน PPP ไว้ในการเชื่อมต่อ TLS บน TCP พอร์ต 443 เหมาะกับเครือข่ายที่ใช้ Windows เป็นหลักและไฟร์วอลล์ที่เปิดทราฟฟิกเว็บ จุดแข็งคือรองรับ Windows ในตัว ความปลอดภัยของ TLS ที่เติบโตเต็มที่ และติดตั้งง่าย จุดอ่อนคือช้าลงจากการวิ่ง TCP ซ้อน TCP การรองรับนอก Windows ที่จำกัด การพึ่งผู้ผลิตรายเดียว และต้องดูแลใบรับรองอย่างรอบคอบ มันยังเป็นตัวเลือกที่สมเหตุสมผลสำหรับบางสภาพแวดล้อม Windows ที่มีผู้ดูแล แต่สำหรับอุปกรณ์หลากหลายและการใช้งานประจำวัน โปรโตคอลที่พกพาง่ายกว่าหรือแอปสำเร็จรูปมักสะดวกกว่า

หากอยากได้แอปที่จัดการรายละเอียดการเชื่อมต่อให้ คุณดูแพ็กเกจได้ที่หน้าราคา