Firewall บล็อก VPN หรือไม่? วิธีตรวจและแก้

ไฟร์วอลล์คือผู้เฝ้าประตู มันตัดสินว่าทราฟฟิกเครือข่ายใดออกหรือเข้าอุปกรณ์หรือเครือข่ายได้บ้าง โดยใช้กฎเกี่ยวกับแอป พอร์ต โพรโทคอล และปลายทาง นี่คือเหตุผลที่มันอาจเป็นต้นเหตุที่ VPN เชื่อมต่อไม่ได้ เพราะแอป VPN ต้องส่งทราฟฟิกชนิดหนึ่งออกไป แล้วที่ใดที่หนึ่งระหว่างทางมีกฎที่บอกว่าไม่ ความยากคือไฟร์วอลล์แทบไม่ประกาศตัว คุณได้แค่ข้อความหมดเวลาหรือ "เชื่อมต่อไม่ได้" โดยไม่มีคำอธิบายสาเหตุ

บทความนี้เป็นคู่มือการวินิจฉัย แสดงวิธีสังเกตรูปแบบที่ชี้ไปที่ไฟร์วอลล์ วิธีแยกว่าเป็นไฟร์วอลล์ตัวใดในสามแบบ (อุปกรณ์ของคุณ เราเตอร์ หรือเครือข่ายของคนอื่น) วิธีทดสอบโดยไม่ลดระดับการป้องกัน และสิ่งที่ควรทำในแต่ละกรณี เนื้อหาตั้งใจเน้นการทบทวนกฎที่คุณเป็นเจ้าของ หากการบล็อกเป็นของโรงเรียน นายจ้าง หรือสถานที่ คำตอบที่ถูกคือสอบถามเจ้าของหรือใช้การเชื่อมต่ออื่น ไม่ใช่สู้กับนโยบายของเขา สำหรับภาพรวมว่าไฟร์วอลล์กับ VPN ต่างกันอย่างไร ดู VPN เทียบกับไฟร์วอลล์ และสำหรับวิธีแก้ทั่วไปเมื่อ VPN เปิดไม่ติด ดู VPN เชื่อมต่อไม่ได้

รูปแบบที่ชี้ไปที่ไฟร์วอลล์

ไฟร์วอลล์ทิ้งลายนิ้วมือที่เป็นแบบฉบับ เทียบสิ่งที่คุณเห็นกับตารางนี้

สิ่งที่สังเกตเห็น	บ่งบอกอะไร
เว็บทั่วไปโหลดได้ แต่ VPN หมดเวลา	มีบางอย่างกรองทราฟฟิก VPN โดยเฉพาะ
VPN ใช้ได้บนอินเทอร์เน็ตมือถือ แต่ล้มบน Wi-Fi แห่งหนึ่ง	เครือข่าย Wi-Fi หรือเราเตอร์มีกฎ
VPN ล้มทุกเครือข่าย แต่เฉพาะอุปกรณ์เครื่องเดียว	ไฟร์วอลล์ของอุปกรณ์ หรือชุดความปลอดภัยในเครื่อง
เมื่อวานใช้ได้ วันนี้ล้ม และเพิ่งมีอัปเดตความปลอดภัย	กฎเริ่มต้นใหม่ หรือแอปเสียรายการอนุญาต
ข้อความ Authentication failed	ไม่ใช่ไฟร์วอลล์ เพราะเซิร์ฟเวอร์ตอบคุณแล้ว
เชื่อมต่อแล้วแต่เว็บไม่โหลด	ไม่ใช่ไฟร์วอลล์ที่ทางเข้า ดูเรื่อง DNS และเส้นทาง

ไฟร์วอลล์ที่บล็อก VPN มักทำให้การเชื่อมต่อหมดเวลา เพราะแพ็กเก็ตถูกทิ้งเงียบ ๆ และไม่มีใครตอบ ไฟร์วอลล์ที่ปฏิเสธอย่างเปิดเผยอาจแสดงความล้มเหลวทันที ทั้งสองแบบไม่ทำให้เกิดข้อผิดพลาดการเข้าสู่ระบบ ดังนั้นถ้าแอปบอกว่าข้อมูลของคุณถูกปฏิเสธ ไฟร์วอลล์ไม่ใช่ปัญหา เซิร์ฟเวอร์ตอบแล้ว ให้ตรวจข้อมูลเข้าสู่ระบบของคุณที่ My Pass แทน ตรวจถ้อยคำที่แน่นอนก่อน เพราะการวินิจฉัยทั้งหมดขึ้นอยู่กับเรื่องนี้

เวลาก็เป็นเบาะแส ความล้มเหลวหลังประมาณสามสิบวินาทีถึงหนึ่งนาทีแปลว่าทราฟฟิกออกไปแล้วไม่มีอะไรกลับมา ความล้มเหลวทันทีภายในหนึ่งถึงสองวินาทีบ่งว่าอุปกรณ์ปฏิเสธที่จะส่ง ซึ่งชี้ไปที่กฎของอุปกรณ์เอง

ไฟร์วอลล์อยู่ได้สามที่

ขั้นตอนที่มีประโยชน์ที่สุดคือการหาว่าคุณกำลังเจอไฟร์วอลล์ตัวไหน เพราะสิ่งที่ต้องทำต่างกัน

1. ไฟร์วอลล์บนอุปกรณ์ของคุณ

ระบบปฏิบัติการหลักทุกตัวมีไฟร์วอลล์ในตัว และหลายคนใช้ชุดความปลอดภัยที่มีไฟร์วอลล์ของตัวเองด้วย บน Windows มี Windows Defender Firewall บน macOS มีไฟร์วอลล์ระดับแอปและตัวกรองแพ็กเก็ตของระบบ บน Linux มีเครื่องมือเช่นไฟร์วอลล์ของเคอร์เนลและส่วนหน้าสำหรับใช้งาน โทรศัพท์มีการตั้งค่าไฟร์วอลล์ที่ผู้ใช้เห็นน้อยกว่า แต่แอปความปลอดภัยและแอปกรองทำงานคล้ายกัน

สัญญาณว่าเป็นที่อุปกรณ์ คือ VPN เดียวกันล้มบนทุกเครือข่ายที่ลอง อุปกรณ์อื่นบน Wi-Fi เดียวกันเชื่อมต่อได้ และปัญหาเริ่มหลังติดตั้งผลิตภัณฑ์ความปลอดภัยหรือเปลี่ยนการตั้งค่าไฟร์วอลล์

2. ไฟร์วอลล์บนเราเตอร์ของคุณ

เราเตอร์ตามบ้านก็กรองทราฟฟิกเช่นกัน บางรุ่นมีระบบควบคุมสำหรับผู้ปกครอง "โล่ความปลอดภัย" หรือการบล็อกแอป ส่วนใหญ่ไม่บล็อกทราฟฟิก VPN โดยค่าเริ่มต้น แต่กฎที่ตั้งไว้นานแล้ว หรือโหมดที่เข้มงวดขึ้นที่เปิดมาพร้อมการอัปเดต อาจบล็อกได้

สัญญาณว่าเป็นที่เราเตอร์ คือทุกอุปกรณ์บน Wi-Fi นั้นมีปัญหาเดียวกัน VPN ใช้ได้บนอินเทอร์เน็ตมือถือและที่บ้านเพื่อน และเราเตอร์มีฟีเจอร์ความปลอดภัยหรือการกรองที่คุณจำได้ว่าเคยเปิด

3. เครือข่ายที่คุณไปใช้

โรงเรียน สำนักงาน โรงแรม สนามบิน และฮอตสปอตสาธารณะบางแห่งใช้ไฟร์วอลล์ที่กำหนดว่าแขกทำอะไรได้บ้าง เหตุผลมักธรรมดา คือเรื่องความจุ นโยบายความปลอดภัย หรือการปฏิบัติตามข้อกำหนด เครือข่ายเช่นนี้อาจอนุญาตให้เปิดเว็บแต่จำกัดทราฟฟิกอื่น

สัญญาณว่าเป็นที่เครือข่าย คือ VPN ใช้ได้ที่บ้านและล้มเฉพาะที่หนึ่ง แขกคนอื่นรายงานเหมือนกัน และมีประกาศหรือหน้าข้อกำหนดที่ระบุว่าอนุญาตอะไร

ทดสอบอย่างปลอดภัย เรียงตามลำดับ

ทดสอบจากแบบที่รบกวนน้อยที่สุดไปมากที่สุด แต่ละข้อตอบหนึ่งคำถาม

ทดสอบที่ 1: เปลี่ยนเครือข่าย ต่ออุปกรณ์เครื่องเดิมเข้าอินเทอร์เน็ตมือถือ แล้วลอง VPN ถ้าใช้ได้ ความต่างอยู่ที่เครือข่าย Wi-Fi (เราเตอร์หรือนโยบายเครือข่าย) ไม่ใช่ที่อุปกรณ์ ถ้าล้มทุกที่ ก็มีโอกาสที่อุปกรณ์หรือแอปเป็นต้นเหตุมากกว่า การทดสอบเดียวนี้ตัดสินคำถามให้คนส่วนใหญ่

ทดสอบที่ 2: เปลี่ยนอุปกรณ์ ลองอุปกรณ์เครื่องที่สองบน Wi-Fi เดียวกัน ถ้าเครื่องที่สองเชื่อมต่อได้ เครื่องแรกมีปัญหา ถ้าเชื่อมต่อไม่ได้ทั้งคู่ เครือข่ายหรือเราเตอร์เกี่ยวข้อง

ทดสอบที่ 3: ตรวจสิทธิ์ของแอป บนคอมพิวเตอร์ ตรวจว่าระบบปฏิบัติการแสดงหน้าต่างขออนุญาตเมื่อแอป VPN ทำงานครั้งแรกหรือไม่ และคุณปัดทิ้งไปหรือเปล่า บน Windows หน้าต่างจะถามว่าจะให้แอปสื่อสารบนเครือข่ายส่วนตัวและสาธารณะหรือไม่ ถ้าปฏิเสธไป แอปก็ไม่มีกฎอนุญาต ให้ตรวจที่รายการแอปที่ได้รับอนุญาตของไฟร์วอลล์

ทดสอบที่ 4: หยุดอย่างหนึ่งช่วงสั้น ๆ ถ้าอยู่บนเครือข่ายที่บ้านและต้องรู้ว่าไฟร์วอลล์ของอุปกรณ์หรือชุดความปลอดภัยเป็นสาเหตุหรือไม่ ให้ปิดหนึ่งส่วนประกอบสักหนึ่งนาที ลอง VPN แล้วเปิดกลับทันที ทดสอบเฉพาะบนเครือข่ายที่ไว้ใจได้ และทีละส่วนประกอบ วิธีที่ดีกว่า หากทำได้ คือเปิดการป้องกันไว้และเพิ่มกฎอนุญาต เพราะทดสอบสิ่งเดียวกันโดยไม่เปิดช่องโหว่

ทดสอบที่ 5: อ่านบันทึก ไฟร์วอลล์ส่วนใหญ่เก็บบันทึกการเชื่อมต่อที่ถูกบล็อก บน Windows คุณเปิดการบันทึกแพ็กเก็ตที่ถูกทิ้งได้ในการตั้งค่าขั้นสูงของไฟร์วอลล์ ชุดความปลอดภัยแสดงเหตุการณ์ที่ถูกบล็อกในประวัติ ให้มองหารายการที่มีเวลาตรงกับความพยายามล่าสุดของคุณ รายการที่ระบุชื่อแอป VPN หรือปลายทางของมันคือหลักฐานที่หนักแน่นที่สุดที่ได้

สิ่งที่ควรเปลี่ยนบนอุปกรณ์ของคุณ

เมื่อรู้แล้วว่าอุปกรณ์เป็นสาเหตุ ให้ทำการเปลี่ยนแปลงที่เล็กที่สุดที่แก้ได้

1. อนุญาตแอป VPN ผ่านไฟร์วอลล์ ในรายการแอปที่ได้รับอนุญาตของไฟร์วอลล์ในตัว ตรวจว่าแอป VPN ได้รับอนุญาต เลือกประเภทเครือข่ายที่คุณใช้จริง บน Windows ดูหมายเหตุใน ไฟร์วอลล์ Windows กับ VPN ซึ่งครอบคลุมโปรไฟล์เครือข่ายส่วนตัวและสาธารณะ
2. เพิ่มข้อยกเว้นในชุดความปลอดภัย มองหาในส่วนป้องกันเว็บ ป้องกันเครือข่าย หรือไฟร์วอลล์ของชุดนั้น ซึ่งมีรายการแอปที่ไว้ใจ เพิ่มแอป VPN ทำเฉพาะกับซอฟต์แวร์ที่มาจากการดาวน์โหลดทางการ
3. ตรวจกฎขาออก บางการตั้งค่าบล็อกทราฟฟิกขาออกโดยค่าเริ่มต้นและอนุญาตเฉพาะแอปในรายการ ไคลเอนต์ VPN จะถูกบล็อกจนกว่าคุณจะเพิ่มชื่อ
4. มองหากฎที่ซอฟต์แวร์อื่นสร้างไว้ เครื่องมือรีโมต เครื่องเสมือน และไคลเอนต์ VPN รุ่นเก่า บางครั้งเพิ่มกฎไฟร์วอลล์ที่ยังอยู่หลังคุณลบโปรแกรม ตรวจรายการหารายการที่ไม่รู้จัก แต่อย่าลบกฎที่คุณระบุจุดประสงค์ไม่ได้ ให้จดไว้แล้วสอบถาม
5. อย่าปล่อยให้การป้องกันปิดอยู่ ถ้าต้องปิดอะไรเพื่อทดสอบ ให้เปิดกลับ แล้วเพิ่มรายการอนุญาตที่เหมาะสมแทน

คู่มือ NIST เรื่อง IPsec VPN และคำแนะนำของ Microsoft เรื่องการเชื่อมต่อ VPN ใน Windows อธิบายทราฟฟิกที่ไคลเอนต์ VPN มักต้องส่ง และเป็นแหล่งอ้างอิงที่ดีถ้าคุณจัดการกฎเอง เราไม่ระบุว่า VPN ของคุณใช้วิธีใด ค่าเริ่มต้นของแอปคือจุดเริ่มต้นที่ถูกต้อง

สิ่งที่ควรเปลี่ยนบนเราเตอร์ของคุณ

ถ้าทดสอบที่ 1 และ 2 ชี้ไปที่เราเตอร์ ให้ทำตามนี้

1. รีสตาร์ตเราเตอร์ ถอดปลั๊กสามสิบวินาที ช่วยล้างสถานะที่ค้างและแก้การบล็อกแปลก ๆ ได้บ่อย
2. หาฟีเจอร์ความปลอดภัยหรือควบคุมผู้ปกครอง ชื่อต่างกันไป เช่น "security shield", "web protection", "application filtering", "intrusion prevention", "family controls" ปิดทีละอย่างเพื่อทดสอบ ครั้งละหนึ่งอย่าง
3. ดูกฎขาออก เราเตอร์บางรุ่นให้กำหนดว่าพอร์ตและโพรโทคอลใดออกได้ รายการที่เข้มงวดอาจบล็อกทราฟฟิก VPN
4. ตรวจโปรไฟล์เครือข่ายแขก ถ้าคุณใช้ Wi-Fi แขกที่จำกัดการเข้าถึง ให้ย้ายไปเครือข่ายหลัก หรือถามเจ้าของว่าเครือข่ายแขกอนุญาตทราฟฟิก VPN หรือไม่
5. อัปเดตเฟิร์มแวร์ การอัปเดตแก้บั๊กในโค้ดการกรอง สำรองการตั้งค่าไว้ก่อน
6. จดสิ่งที่เปลี่ยน จดค่าเดิมของทุกอย่างที่ปรับ เพื่อย้อนกลับได้

ถ้าเราเตอร์ถูกจัดหาและดูแลโดยผู้ให้บริการอินเทอร์เน็ตของคุณ คุณอาจเข้าถึงการตั้งค่าเหล่านี้ไม่ได้ ให้ติดต่อผู้ให้บริการ แทนการพยายามหาทางอ้อม

เมื่อเครือข่ายเป็นของคนอื่น

นี่คือกรณีที่คำตอบที่ถูกต้องมักไม่ใช่เรื่องเทคนิค ไฟร์วอลล์ของโรงเรียน สำนักงาน โรงแรม หรือเครือข่ายสาธารณะคือการแสดงออกของนโยบาย จงปฏิบัติต่อมันเช่นนั้น

• ตรวจกฎ มองหาข้อกำหนดการใช้งานหรือหน้านโยบายการใช้งานที่ยอมรับได้ บางเครือข่ายระบุตรง ๆ ว่าอนุญาต VPN หรือไม่
• สอบถาม ติดต่อผู้ดูแลเครือข่ายหรือแผนกต้อนรับ อธิบายว่าคุณต้องใช้ VPN เพื่อทำงานหรือเพื่อปกป้องทราฟฟิกของตนเอง และถามว่าอนุญาตหรือไม่และอย่างไร ผู้ดูแลมักมีคำตอบมาตรฐาน และบางแห่งมีเครือข่ายเฉพาะไว้ให้
• ใช้การเชื่อมต่ออื่น อินเทอร์เน็ตมือถือหรือฮอตสปอตของคุณเองมักเป็นทางเลือกที่ชอบธรรม ดู การเชื่อมต่อ VPN บน Wi-Fi สาธารณะ สำหรับนิสัยที่เหมาะสมเมื่อเชื่อมต่อได้ และ การใช้ VPN บน Wi-Fi โรงแรม สำหรับสถานการณ์นั้นโดยเฉพาะ
• อย่าพยายามเอาชนะนโยบาย การเลี่ยงข้อจำกัดของนายจ้างหรือโรงเรียนอาจผิดกฎของเขาหรือข้อตกลงที่คุณมีกับเขา และมีผลต่อบัญชีหรืองานของคุณ บทความนี้ไม่ให้วิธีเหล่านั้น และคุณไม่ควรไปหามัน

ตัวอย่างการไล่ตรวจจริง

เมียทำงานที่บ้านด้วยโน้ตบุ๊ก เช้าวันหนึ่ง VPN เชื่อมต่อไม่ได้ แอปหมดเวลาหลังราวสี่สิบวินาที

• ทดสอบที่ 1 เธอต่อโน้ตบุ๊กกับฮอตสปอตของมือถือ VPN เชื่อมต่อได้ทันที แปลว่าโน้ตบุ๊กและแอปทำงานได้ ความต่างคือ Wi-Fi ที่บ้าน
• ทดสอบที่ 2 โน้ตบุ๊กของคู่ของเธอก็ล้มบน Wi-Fi ที่บ้านเช่นกัน ชี้ไปที่เราเตอร์ ไม่ใช่เครื่องของเธอ
• ตรวจเราเตอร์ ในการตั้งค่าของเราเตอร์ เธอพบฟีเจอร์ "Network Protection" ที่เพิ่งอัปเดตและตั้งไว้ระดับเข้มงวดที่สุด เธอจดค่าปัจจุบัน ลดเป็นระดับมาตรฐาน แล้วเชื่อมต่อใหม่ VPN ใช้ได้
• ติดตามผล เธอคงค่าใหม่ไว้ จดค่าเก่า และตรวจอีกครั้งหลังการอัปเดตเราเตอร์ครั้งถัดไป

สังเกตว่าเมียไม่เคยปิดไฟร์วอลล์ของโน้ตบุ๊ก และไม่เคยแตะแอป การทดสอบจำกัดปัญหาให้เหลือที่เดียว และวิธีแก้คือการตั้งค่าหนึ่งอย่าง

ข้อผิดพลาดที่พบบ่อย

• ปิดไฟร์วอลล์ทั้งวัน แทนการทดสอบหนึ่งนาที
• ทดสอบเฉพาะบนเครือข่ายที่บ้านแล้วสรุปว่าแอปเสีย
• เพิ่มกฎอนุญาตให้ซอฟต์แวร์ที่ไม่ได้มาจากแหล่งทางการ
• ลบกฎไฟร์วอลล์ที่ตัวเองไม่เข้าใจ
• คิดว่าข้อผิดพลาดการเข้าสู่ระบบเป็นปัญหาไฟร์วอลล์
• พยายามเอาชนะนโยบายของโรงเรียน นายจ้าง หรือโรงแรม แทนที่จะสอบถามหรือใช้การเชื่อมต่ออื่น
• ลืมโปรไฟล์เครือข่ายแขกที่มีกฎเข้มกว่าเครือข่ายหลัก

สรุป

ไฟร์วอลล์ที่บล็อก VPN มักปรากฏเป็นการหมดเวลาบนบางเครือข่ายแต่ไม่ใช่เครือข่ายอื่น ให้ตัดสินว่ามันอยู่ที่ไหน คือที่อุปกรณ์ เราเตอร์ หรือเครือข่ายของคนอื่น เปรียบเทียบอุปกรณ์เครื่องเดียวบนสองเครือข่าย และสองอุปกรณ์บนเครือข่ายเดียว จากนั้นเปลี่ยนสิ่งที่เล็กที่สุด ได้แก่ กฎอนุญาตบนอุปกรณ์ ฟีเจอร์กรองบนเราเตอร์ หรือการพูดคุยกับเจ้าของเครือข่าย อย่าปล่อยให้การป้องกันปิดอยู่ และอย่าพยายามเอาชนะนโยบายที่ไม่ใช่ของคุณ

หากต้องการพาสเพื่อทดสอบบนการเชื่อมต่อที่สอง ดูตัวเลือกได้ที่หน้าราคา