VPN Certificate คืออะไร และใช้ทำอะไร

ก่อนที่หน้าเว็บแรกจะโหลดขึ้นมาหลังจากคุณกดเชื่อมต่อในแอป VPN มีหลายอย่างเกิดขึ้นเบื้องหลัง อุปกรณ์ของคุณกับเซิร์ฟเวอร์ VPN ต้องตกลงวิธีเข้ารหัสอุโมงค์ร่วมกัน และสิ่งที่สำคัญไม่แพ้กันคืออุปกรณ์ต้องมั่นใจว่ากำลังคุยกับเซิร์ฟเวอร์ตัวจริง ไม่ใช่ตัวปลอม ใบรับรองดิจิทัลหรือ Certificate เป็นเครื่องมือหลักอย่างหนึ่งสำหรับงานด้านหลังนี้ และเป็นเหตุผลที่บางครั้งคุณเจอข้อความงงๆ ว่า "ใบรับรองไม่น่าเชื่อถือ" หรือ "ใบรับรองหมดอายุ"

บทความนี้อธิบาย VPN Certificate ตั้งแต่ศูนย์ ว่าคืออะไร ห่วงโซ่ความน่าเชื่อถือทำงานอย่างไร พบได้ในการตั้งค่า VPN แบบไหนบ้าง และอ่านข้อผิดพลาดที่พบบ่อยอย่างไร ไม่จำเป็นต้องมีพื้นฐานด้านการเข้ารหัสลับ หากอยากเห็นภาพรวมของวิธีสร้างอุโมงค์ก่อน แนะนำให้อ่านเรื่อง โปรโตคอล VPN ควบคู่กัน

ใบรับรองดิจิทัลคืออะไร อธิบายใน 1 นาที

ใบรับรองดิจิทัลคือไฟล์เล็กๆ ที่ผูกชื่อของใครหรืออะไรสักอย่างเข้ากับกุญแจเข้ารหัส และมีลายเซ็นของผู้ที่ยืนยันความถูกต้องของการผูกนั้นกำกับไว้ รูปแบบที่ใช้กันทั่วไปเรียกว่า X.509 ซึ่งเป็นตระกูลเดียวกับใบรับรองที่ใช้ปกป้องเว็บไซต์ผ่าน HTTPS

ลองนึกถึงหนังสือเดินทาง หนังสือเดินทางบอกว่า "บุคคลนี้ชื่อนี้ หน้าตาแบบนี้" และมีตราประทับของรัฐบาลที่เจ้าหน้าที่ตรวจคนเข้าเมืองเชื่อถือ เจ้าหน้าที่ไม่ได้รู้จักคุณเป็นการส่วนตัว แต่รู้จักหน่วยงานที่ออกเอกสาร ใบรับรองดิจิทัลก็ทำงานแบบเดียวกัน ประกอบด้วย

• ผู้ถูกรับรอง (Subject) คือชื่อของเจ้าของใบรับรอง มักเป็นชื่อเซิร์ฟเวอร์ เช่น vpn.example.net อยู่ในช่องที่เรียกว่า Common Name หรือ Subject Alternative Name
• กุญแจสาธารณะ (Public key) คือกุญแจที่คนอื่นใช้เริ่มต้นการสื่อสารแบบเข้ารหัสกับเจ้าของใบรับรอง
• ผู้ออกใบรับรอง (Issuer) คือหน่วยงานที่ลงลายเซ็นให้
• ช่วงเวลาที่ใช้ได้ (Validity) คือวันเริ่มต้นและวันสิ้นสุด นอกช่วงนี้ใบรับรองจะไม่ถูกยอมรับ
• ลายเซ็นดิจิทัล (Signature) คือตราประทับทางคณิตศาสตร์ของผู้ออก ซึ่งอุปกรณ์ของคุณตรวจสอบได้

ส่วนที่สำคัญที่สุดคือลายเซ็น ใครก็สร้างไฟล์ที่เขียนว่า "ฉันคือเซิร์ฟเวอร์ VPN ตัวจริง" ได้ แต่เฉพาะไฟล์ที่ผู้ออกที่อุปกรณ์ของคุณเชื่อถืออยู่แล้วลงลายเซ็นให้เท่านั้นจึงจะผ่านการตรวจ

ห่วงโซ่ความน่าเชื่อถือ จาก Root ถึงใบรับรองของเซิร์ฟเวอร์

โทรศัพท์และคอมพิวเตอร์ของคุณมีรายชื่อองค์กรที่เชื่อถือติดมากับเครื่อง เรียกว่า Root Certificate Authority หรือ Root CA รายชื่อนี้เก็บอยู่ในที่ที่เรียกว่า Trust Store โดยปกติ Root CA จะไม่ลงนามใบรับรองของเซิร์ฟเวอร์โดยตรง เพราะกุญแจส่วนตัวของ Root ต้องเก็บรักษาอย่างเข้มงวด จึงลงนามให้ใบรับรองระดับกลาง (Intermediate) และใบรับรองระดับกลางนั้นจึงลงนามให้ใบรับรองที่เซิร์ฟเวอร์ใช้จริงอีกที

ผลลัพธ์คือห่วงโซ่สามชั้น

1. ใบรับรอง Root อยู่ใน Trust Store ของเครื่องคุณแล้ว
2. ใบรับรองระดับกลาง ลงนามโดย Root เซิร์ฟเวอร์ส่งมาให้ตอนเชื่อมต่อ
3. ใบรับรองของเซิร์ฟเวอร์ ลงนามโดยระดับกลาง เซิร์ฟเวอร์ส่งมาให้เช่นกัน

เมื่อคุณเชื่อมต่อ เซิร์ฟเวอร์จะยื่นใบรับรองของตัวเองพร้อมใบรับรองระดับกลาง อุปกรณ์ไล่ตรวจลายเซ็นทีละชั้นขึ้นไปจนถึง Root ที่รู้จัก พร้อมตรวจว่าทุกใบยังอยู่ในช่วงเวลาที่ใช้ได้ และชื่อในใบรับรองตรงกับที่อยู่ที่คุณกำลังเชื่อมต่อ หากผ่านทุกข้อ การเชื่อมต่อจึงดำเนินต่อ ถ้าขั้นใดไม่ผ่านก็จะเห็นข้อความเตือน

ปัจจุบันมีผู้ออกใบรับรองแบบอัตโนมัติที่ให้บริการฟรี ทำให้เรื่องนี้เป็นเรื่องปกติของเว็บไซต์ทั่วไป หลักการพิสูจน์ว่าผู้ขอเป็นเจ้าของชื่อจริงอธิบายไว้อ่านง่ายในหน้า How It Works ของ Let's Encrypt เรื่อง VPN ก็ใช้แนวคิดเดียวกัน เพียงแต่ปลายทางเป็นเกตเวย์ VPN แทนเว็บเซิร์ฟเวอร์

ทำไมไม่เชื่อทุกอย่างไปเลย

เพราะใครก็ตามที่อยู่ระหว่างคุณกับเซิร์ฟเวอร์สามารถยื่นใบรับรองของตัวเองมาแทนได้ หากไม่มีการตรวจลายเซ็น จุดปล่อย Wi-Fi ปลอมอาจตอบรับการเชื่อมต่อ VPN แทน อ่านสิ่งที่คุณส่ง แล้วค่อยส่งต่อไปยังปลายทางจริง ห่วงโซ่ความน่าเชื่อถือเปลี่ยนสถานะจาก "มีเครื่องหนึ่งตอบกลับมา" เป็น "เครื่องที่ฉันตั้งใจจะติดต่อเป็นผู้ตอบกลับจริง"

ใบรับรองปรากฏในการตั้งค่า VPN แบบไหนบ้าง

VPN แต่ละแบบใช้ใบรับรองไม่เหมือนกัน ขึ้นอยู่กับโปรโตคอลและวิธีที่ผู้ให้บริการจัดระบบ

รูปแบบ	บทบาทของใบรับรอง	สิ่งที่ผู้ใช้มักเห็น
OpenVPN	CA ส่วนตัวลงนามใบรับรองเซิร์ฟเวอร์ และอาจมีใบรับรองรายเครื่อง	ไฟล์โปรไฟล์ที่อาจรวมใบรับรอง CA และบางครั้งมีใบรับรองและกุญแจของผู้ใช้
IKEv2/IPsec	เซิร์ฟเวอร์ยื่นใบรับรอง ผู้ใช้ล็อกอินด้วยชื่อผู้ใช้และรหัสผ่าน ใบรับรอง หรือรหัสลับร่วม	มักเห็นแค่ที่อยู่เซิร์ฟเวอร์กับข้อมูลล็อกอิน บางทีมีใบรับรองให้ติดตั้ง
SSTP	อุโมงค์วิ่งอยู่ใน TLS เซิร์ฟเวอร์จึงต้องมีใบรับรองจาก CA ที่ฝั่งผู้ใช้เชื่อถือ	ชื่อเซิร์ฟเวอร์ที่ต้องตรงกับใบรับรองเป๊ะ
WireGuard	ไม่มีใบรับรอง ทั้งสองฝั่งใช้คู่กุญแจสาธารณะและกุญแจส่วนตัว	ไฟล์ตั้งค่าที่มีกุญแจและที่อยู่ปลายทาง
เครื่องมือบนเว็บ	ใบรับรอง HTTPS ของเว็บทั่วไป	รูปกุญแจแม่กุญแจในแถบที่อยู่

หากสนใจเปรียบเทียบสองตัวเลือกยอดนิยมยุคใหม่ อ่านต่อได้ที่ WireGuard กับ OpenVPN ต่างกันอย่างไร ประเด็นเรื่องใบรับรองคือ OpenVPN, IKEv2 และ SSTP พึ่งพาใบรับรอง ขณะที่ WireGuard ใช้กุญแจเปล่าแทน ไม่มีแบบใดดีกว่าเสมอไปสำหรับผู้ใช้ตามบ้าน ใบรับรองเหมาะกับองค์กรใหญ่เพราะเพิกถอนความน่าเชื่อถือจากส่วนกลางได้ ส่วนคู่กุญแจตั้งค่าง่ายกว่าสำหรับกลุ่มเล็ก

หากอยากอ่านรายละเอียดทางเทคนิคว่า IKEv2 ใช้ใบรับรองพิสูจน์ตัวตนเกตเวย์อย่างไร ต้นฉบับคือ RFC 7296 และ RFC 8446 อธิบายการจับมือของ TLS 1.3 ที่การเชื่อมต่อแบบเว็บและแบบ SSTP ใช้ คุณไม่จำเป็นต้องอ่านเพื่อใช้ VPN แต่ก็น่าอุ่นใจที่มาตรฐานเหล่านี้เปิดเผยต่อสาธารณะ

ใบรับรองฝั่งเซิร์ฟเวอร์ ฝั่งผู้ใช้ และรหัสผ่าน

การพิสูจน์ตัวตนมีสองทิศทาง และใบรับรองรับใช้ได้ทั้งสองทาง

การพิสูจน์ตัวตนฝั่งเซิร์ฟเวอร์ ตอบคำถามว่า "ฉันกำลังคุยกับ VPN ที่ตั้งใจจะใช้จริงไหม" ทำด้วยใบรับรองของเซิร์ฟเวอร์ และแทบจะมีเสมอ ช่วยป้องกันเกตเวย์ปลอม

การพิสูจน์ตัวตนฝั่งผู้ใช้ ตอบคำถามว่า "อุปกรณ์นี้ได้รับอนุญาตให้เข้าหรือไม่" ทำได้สามแบบหลักๆ

• ชื่อผู้ใช้และรหัสผ่าน แจกง่าย เปลี่ยนง่าย บริการ VPN สำหรับผู้บริโภคส่วนใหญ่ใช้แบบนี้ จุดอ่อนคือรหัสผ่านอาจถูกเดา ใช้ซ้ำ หรือถูกหลอกเอาไป
• ใบรับรองรายเครื่อง แต่ละเครื่องมีใบรับรองและกุญแจส่วนตัวของตัวเอง ไม่มีรหัสผ่านให้ถูกขโมยระหว่างทาง และสั่งบล็อกเครื่องเดียวได้ด้วยการเพิกถอนใบรับรอง แลกกับภาระการดูแลที่มากขึ้น
• ใช้ร่วมกัน บางองค์กรขอทั้งใบรับรองและรหัสผ่าน หรือใบรับรองกับรหัสครั้งเดียว บทความเรื่อง การยืนยันตัวตนสองขั้นตอน อธิบายว่าทำไมการรวมหลายปัจจัยจึงแข็งแรงกว่า

สำหรับลูกค้ารายบุคคลทั่วไป ภาพจริงง่ายมาก แอปเชื่อถือเซิร์ฟเวอร์ผ่านการตรวจใบรับรองปกติ และคุณล็อกอินด้วยชื่อผู้ใช้กับรหัสผ่าน คุณไม่ต้องจัดการใบรับรองเอง แต่สำหรับออฟฟิศเล็กหรือครอบครัวที่ตั้งเซิร์ฟเวอร์เอง ใบรับรองกลายเป็นเรื่องจริงจัง เพราะต้องมีคนสร้าง แจก ต่ออายุ และเพิกถอน

ตัวอย่างจริง เกตเวย์ปลอมในร้านกาแฟ

สมมติว่าคุณมะลิเป็นฟรีแลนซ์ออกแบบกราฟิก นั่งทำงานที่ร้านกาแฟ เธอต่อ Wi-Fi ของร้านแล้วเปิด VPN ของบริษัท โดยไม่รู้ว่ามีคนบนเครือข่ายเดียวกันตั้งอุปกรณ์คอยตอบรับการเชื่อมต่อ VPN และแกล้งเป็นเกตเวย์ของบริษัท

สิ่งที่หยุดการโจมตีนี้ได้คือการตรวจใบรับรอง

1. ตัวปลอมต้องยื่นใบรับรองที่ตรงกับชื่อที่แอปของคุณมะลิคาดหวัง
2. มันไม่สามารถทำให้ผู้ออกที่เชื่อถือได้ลงนามใบรับรองสำหรับชื่อที่มันไม่ได้เป็นเจ้าของ
3. มันอาจยื่นใบรับรองที่สร้างเอง แต่เครื่องของคุณมะลิไม่เชื่อถือผู้ออกรายนั้น แอปจึงปฏิเสธและขึ้นคำเตือน

ถ้าคุณมะลิกด "ดำเนินการต่อ" เธอจะทิ้งการป้องกันนี้ไปทันที แต่ถ้าเธอหยุดแล้วสลับไปใช้อินเทอร์เน็ตมือถือแทน งานก็ยังปลอดภัย นี่คือเหตุผลที่ VPN ไม่ได้มาแทนที่การใส่ใจ อุโมงค์จะช่วยได้ก็ต่อเมื่อเคารพการตรวจตัวตนตอนเริ่มต้น สำหรับนิสัยอื่นๆ เมื่อใช้เครือข่ายร่วม อ่านต่อที่ ความปลอดภัยบน Wi-Fi สาธารณะ

เมื่อไรควรติดตั้งใบรับรอง และเมื่อไรไม่ควร

บางครั้งบริการจะขอให้คุณติดตั้งไฟล์ใบรับรอง สองสถานการณ์ดูคล้ายกันแต่ความเสี่ยงต่างกันมาก

โดยทั่วไปไม่เป็นไร ฝ่าย IT ของบริษัทหรือโรงเรียนส่งโปรไฟล์ที่มีใบรับรอง CA ส่วนตัวของ VPN ของเขาผ่านพอร์ทัลทางการ พร้อมอธิบายว่าใช้ทำอะไร และใบรับรองนั้นครอบคลุมเฉพาะเครือข่ายของเขา

ต้องระวัง การเพิ่มใบรับรอง Root ใหม่เข้าไปใน Trust Store ของเครื่อง เท่ากับให้ผู้ออกรายนั้นมีความสามารถทางเทคนิคในการรับรองชื่อเว็บไซต์ใดก็ได้ ใบรับรอง Root ที่เป็นอันตรายอาจทำให้คนที่อยู่ในเส้นทางข้อมูลอ่านทราฟฟิกที่ปกติถูกป้องกันได้ รวมถึง HTTPS ด้วย เพราะเหตุนี้ เว็บแปลกหน้า ลิงก์ในแชท ป๊อปอัป หรือแอปที่ไม่รู้จัก ที่ขอให้คุณติดตั้งใบรับรอง Root จึงควรถูกปฏิเสธ

หลักง่ายๆ

• ติดตั้งใบรับรองเฉพาะจากองค์กรที่ดูแลเครือข่ายนั้น และผ่านช่องทางที่คุณเป็นฝ่ายเริ่มติดต่อเอง
• ถามว่าใบรับรองนี้ใช้ทำอะไรและครอบคลุมชื่อใดบ้าง
• หากระบบรองรับ ให้เลือกใบรับรองที่จำกัดอยู่ในโปรไฟล์ VPN เดียว แทนการเพิ่ม Root ทั่วทั้งเครื่อง
• ลบใบรับรองที่ไม่ใช้แล้ว เช่น หลังลาออกจากงาน
• อย่าติดตั้งใบรับรองเพื่อ "แก้" คำเตือนของเว็บที่คุณยังไม่เข้าใจ

เรื่องนี้เกี่ยวข้องกับฟิชชิงด้วย หน้าเว็บที่บอกให้ดาวน์โหลด "ใบรับรองความปลอดภัย" ก่อนจะดูเนื้อหาได้ เป็นกลโกงคลาสสิก คู่มือ การสังเกตเว็บไซต์ฟิชชิง รวบรวมสัญญาณเตือนอื่นๆ ไว้แล้ว

อ่านข้อผิดพลาดของ Certificate ที่พบบ่อย

คำเตือนเรื่องใบรับรองดูน่ากลัว แต่โดยมากวิเคราะห์สาเหตุได้ นี่คือข้อความที่เจอบ่อยและสิ่งที่ควรลอง

แนวข้อความ	สาเหตุที่เป็นไปได้	สิ่งที่ควรทำ
ใบรับรองหมดอายุ หรือยังไม่ถึงวันที่ใช้ได้	ช่วงเวลาของใบรับรองไม่ครอบคลุมวันนี้ หรือนาฬิกาเครื่องผิด	ตั้งวันและเวลาเป็นอัตโนมัติก่อน ถ้ายังไม่หาย เจ้าของเซิร์ฟเวอร์ต้องต่ออายุ
ชื่อไม่ตรงกัน	ใช้ที่อยู่ที่ไม่อยู่ในใบรับรอง เช่นกรอก IP แทนชื่อโฮสต์	ใช้ชื่อเซิร์ฟเวอร์ตามที่คู่มือระบุเป๊ะๆ
ผู้ออกไม่น่าเชื่อถือ หรือไม่รู้จักผู้ออก	เครื่องไม่มีผู้ออกใน Trust Store หรือเซิร์ฟเวอร์ไม่ได้ส่งใบรับรองระดับกลางมา	ติดตั้งใบรับรอง CA ทางการหากมีให้ หรือแจ้งเจ้าของให้แก้ห่วงโซ่
ใบรับรองถูกเพิกถอน	ผู้ออกยกเลิก มักเพราะกุญแจหายหรือพนักงานลาออก	ขอใบรับรองใหม่
ใบรับรองที่ลงนามเอง	เซิร์ฟเวอร์รับรองตัวเอง	ยอมรับได้เมื่อคุณคุมเซิร์ฟเวอร์เองและตรวจลายนิ้วมือได้ด้วยตัวเอง

สาเหตุที่พบบ่อยที่สุดสำหรับคนทั่วไปคือนาฬิกาเครื่องผิด โทรศัพท์ที่ปิดเครื่องมาหลายวัน หรือโน้ตบุ๊กที่แบตเตอรี่นาฬิกาหมด จะเห็นทุกใบรับรองเป็น "ยังไม่ถึงเวลา" หรือ "หมดอายุแล้ว" ให้เปิดการตั้งวันและเวลาอัตโนมัติ เชื่อมต่อใหม่ แล้วลองอีกครั้งก่อนจะเปลี่ยนอะไรอย่างอื่น หากแอปยังเชื่อมต่อไม่ได้ คู่มือแก้ไข VPN เชื่อมต่อไม่ได้ จะพาไล่ตรวจสาเหตุอื่นๆ ที่พบบ่อย

ใบรับรองกับวันหมดอายุ

ใบรับรองถูกออกแบบให้มีอายุสั้นโดยตั้งใจ ใบรับรองเว็บสาธารณะปัจจุบันมักมีอายุเพียงไม่กี่เดือนและต่ออายุอัตโนมัติ ส่วนใบรับรองของ VPN ส่วนตัวอาจมีอายุยาวกว่านั้น สะดวกแต่ลืมง่าย เรื่องคลาสสิกคือ VPN ของออฟฟิศเล็กใช้ได้ดีมาทั้งปี แล้วพังเช้าวันจันทร์ เพราะใบรับรองเซิร์ฟเวอร์หมดอายุช่วงสุดสัปดาห์ และไม่มีใครจดวันไว้ในปฏิทิน หากคุณดูแลเซิร์ฟเวอร์เอง ให้จดวันหมดอายุและตั้งเตือนล่วงหน้าหนึ่งเดือน

เช็กลิสต์สั้นๆ สำหรับคนที่ตั้ง VPN เอง

หากคุณดูแล VPN ที่บ้านหรือในออฟฟิศเล็กและใช้ใบรับรอง นิสัยไม่กี่ข้อช่วยป้องกันปัญหาส่วนใหญ่

1. เก็บกุญแจส่วนตัวของ CA ไว้แบบออฟไลน์ ใครมีกุญแจนี้ก็สร้างใบรับรองที่ใช้ได้กับเครือข่ายของคุณได้
2. ใช้หนึ่งใบรับรองต่อหนึ่งเครื่อง เมื่อโน้ตบุ๊กหาย คุณเพิกถอนเฉพาะเครื่องนั้นได้
3. เลือกอายุที่เหมาะสม สั้นปลอดภัยกว่า ยาวสะดวกกว่า ให้เลือกตามความสามารถในการต่ออายุทันเวลา
4. ใส่ชื่อให้ถูก ใส่ชื่อโฮสต์ที่ผู้ใช้ใช้จริงลงในใบรับรอง ไม่ใช่แค่หมายเลข IP
5. มีขั้นตอนเพิกถอน รู้ล่วงหน้าว่าจะบล็อกเครื่องที่หายอย่างไร
6. ทดสอบจากเครื่องใหม่ โทรศัพท์เครื่องใหม่จะบอกคุณว่าห่วงโซ่ทั้งหมดถูกส่งมาครบหรือไม่
7. สำรองค่าตั้งและกุญแจอย่างปลอดภัย และเก็บแยกจากเซิร์ฟเวอร์

การโฮสต์อุโมงค์เองมีข้อแลกเปลี่ยนอื่นนอกจากเรื่องใบรับรอง ซึ่งเราเปรียบเทียบไว้ใน VPN ที่ตั้งเองกับ VPN เชิงพาณิชย์

ใบรับรองทำอะไรไม่ได้บ้าง

ควรเข้าใจข้อจำกัดให้ชัด เพื่อไม่ให้ประเมินใบรับรองสูงหรือต่ำเกินไป

• ใบรับรองพิสูจน์ตัวตน ไม่ได้พิสูจน์ความน่าไว้ใจ บริการที่ประสงค์ร้ายก็มีใบรับรองที่ถูกต้องสำหรับชื่อของตัวเองได้ ใบรับรองที่ถูกต้องแปลว่า "นี่คือเซิร์ฟเวอร์นั้นจริง" ไม่ใช่ "เซิร์ฟเวอร์นั้นเป็นคนดี"
• ใบรับรองไม่ได้ทำให้เว็บไซต์ปลอดภัย แม่กุญแจบนหน้าฟิชชิงหมายความเพียงว่าการเชื่อมต่อไปยังหน้านั้นถูกเข้ารหัส ดูความต่างของสองชั้นได้ที่ HTTPS กับ VPN
• ใบรับรองไม่ได้ซ่อนกิจกรรมของคุณจากผู้ให้บริการ VPN เมื่ออุโมงค์สิ้นสุดที่เซิร์ฟเวอร์ของเขา เขาก็จัดการทราฟฟิกของคุณ การเลือกผู้ให้บริการเป็นการตัดสินใจเรื่องความไว้ใจต่อบริษัท แยกจากตัวการเข้ารหัส
• ใบรับรองปกป้องอุปกรณ์ที่ติดมัลแวร์อยู่แล้วหรือรหัสผ่านที่ถูกหลอกเอาไปไม่ได้
• ความแข็งแรงของการเข้ารหัสถูกกำหนดโดยโปรโตคอลและค่าที่ตั้ง ไม่ใช่เพียงใบรับรอง อ่านภาพรวมได้ที่ การเข้ารหัส VPN คืออะไร

สรุป

VPN Certificate คือไฟล์ที่มีลายเซ็นกำกับ ช่วยให้อุปกรณ์ของคุณตรวจสอบว่ากำลังคุยกับเซิร์ฟเวอร์ VPN ตัวจริง และบางกรณีช่วยให้เซิร์ฟเวอร์ตรวจสอบอุปกรณ์ของคุณด้วย ทำงานผ่านห่วงโซ่ความน่าเชื่อถือที่สิ้นสุดที่ Root ซึ่งอุปกรณ์รู้จักอยู่แล้ว OpenVPN, IKEv2 และ SSTP ใช้ใบรับรองในรูปแบบต่างกัน ส่วน WireGuard ใช้กุญแจล้วนแทน ปัญหาใบรับรองของคนทั่วไปส่วนใหญ่มาจากนาฬิกาเครื่องผิด ใบรับรองหมดอายุ หรือชื่อไม่ตรง และวิธีรับมือที่ปลอดภัยที่สุดเมื่อเจอคำเตือนคือหยุดแล้วแก้ที่สาเหตุ ไม่ใช่กดข้าม ติดตั้งใบรับรองเฉพาะจากองค์กรที่คุณเลือกเชื่อถือเอง และไม่ติดตั้งเพียงเพราะมีป๊อปอัปสั่ง

หากกำลังเลือกแพ็กเกจและอยากได้แอป VPN ที่จัดการการตรวจเซิร์ฟเวอร์ให้ คุณดูตัวเลือกได้ที่หน้าราคา