อุปกรณ์ IoT ควรใช้ VPN ผ่าน Router ไหม

บ้านสมัยใหม่อาจมีอุปกรณ์เชื่อมต่อเครือข่ายสามสิบถึงสี่สิบชิ้น ทั้งปลั๊กอัจฉริยะ หลอดไฟ กล้องวงจรปิด กริ่งประตู หุ่นยนต์ดูดฝุ่น เครื่องพิมพ์ เทอร์โมสตัท ลำโพง ไปจนถึงตู้เย็นที่มีหน้าจอ ไม่มีชิ้นไหนเลยที่ให้คุณติดตั้งแอป VPN ได้ มันรันโปรแกรมเล็ก ๆ ที่กำหนดตายตัว คุยกับคลาวด์ของผู้ผลิต และหลายตัวไม่ได้รับการอัปเดตอีกเลยหลังออกจากโรงงาน คำถามว่า "อุปกรณ์ IoT ใช้ VPN ได้ไหม" จึงแทบทุกครั้งจบที่เราเตอร์

บทความนี้พูดถึงแนวคิดเดียว คือการวาง VPN ไว้ที่เราเตอร์ เพื่อให้อุปกรณ์ที่อยู่ข้างหลังได้รับการคุ้มครองโดยไม่ต้องลงซอฟต์แวร์บนตัวอุปกรณ์ เราจะดูว่ามันปกป้องอะไรได้จริง อะไรที่แก้ไม่ได้ ควรทำอะไรก่อนแตะเรื่อง VPN จะตัดสินใจอย่างไรว่าอุปกรณ์ตัวไหนควรผ่านอุโมงค์ และจะแก้ปัญหาแปลก ๆ อย่างไรเมื่อกริ่งประตูหรือลำโพงมาเจออุโมงค์ ส่วนภาพรวมของบ้านอัจฉริยะ ดูได้ที่ VPN สำหรับสมาร์ตโฮม และเรื่องการเปรียบเทียบเราเตอร์กับแอป ดู VPN บนเราเตอร์เทียบกับแอป VPN

ทำไมอุปกรณ์ IoT ถึงลงแอป VPN ไม่ได้

โทรศัพท์หรือโน้ตบุ๊กมีระบบปฏิบัติการที่ให้คุณติดตั้งแอปและอนุมัติ VPN ได้ แต่หลอดไฟอัจฉริยะมีเฟิร์มแวร์ คือโปรแกรมเดียวที่ผู้ผลิตเขียนไว้ ไม่มีร้านแอป และไม่มีหน้าตั้งค่าให้ล็อกอินด้วยชื่อผู้ใช้และรหัสผ่าน แม้แต่อุปกรณ์ที่ดูเหมือนคอมพิวเตอร์ เช่น สมาร์ตทีวี Streaming สติก และกล้องบางรุ่น ก็มักรันระบบปฏิบัติการแบบจำกัดที่อนุญาตเฉพาะซอฟต์แวร์ที่ผู้ผลิตรับรอง สำหรับทีวีและกล่องรับสัญญาณบางรุ่นมีแอป VPN ให้ใช้ และหน้าช่วยเหลือของเราก็มีเรื่อง สมาร์ตทีวี แต่อุปกรณ์ชิ้นเล็กส่วนใหญ่ไม่มีตัวเลือกนี้

เราเตอร์คืออุปกรณ์เดียวที่ทุกชิ้นเชื่อถืออยู่แล้ว ทุกอย่างที่อุปกรณ์ส่งออกอินเทอร์เน็ตต้องผ่านมัน หากเราเตอร์เปิดการเชื่อมต่อ VPN ค้างไว้และส่งทราฟฟิกที่เลือกผ่านอุโมงค์ อุปกรณ์ก็อยู่ในอุโมงค์โดยไม่รู้ตัว นี่คือเสน่ห์ทั้งหมดของการป้องกันที่ระดับเราเตอร์

VPN บนเราเตอร์ช่วยอุปกรณ์ IoT ได้อย่างไร

ควรพูดให้เจาะจง เพราะประโยชน์จริงแคบกว่าที่โฆษณามักบอก

• ซ่อนปลายทางจากผู้ให้บริการอินเทอร์เน็ต ถ้าไม่มี VPN ผู้ให้บริการเห็นว่ากล้องและลำโพงของคุณติดต่อบริการคลาวด์ใดและเมื่อไร เมื่อมี VPN จะเห็นเพียงการเชื่อมต่อแบบเข้ารหัสไปยังเซิร์ฟเวอร์ VPN
• เข้ารหัสทราฟฟิกที่อุปกรณ์อาจส่งแบบอ่อน อุปกรณ์ราคาถูกบางตัวยังใช้การเชื่อมต่อแบบเก่าหรือตั้งค่าไม่ดี อุโมงค์จากเราเตอร์ห่อทราฟฟิกนั้นไว้ขณะออกจากบ้าน
• ให้ที่อยู่ขาออกเดียวกันกับทุกอุปกรณ์ที่เลือก แทนที่แต่ละตัวจะปรากฏด้วยที่อยู่ของอินเทอร์เน็ตบ้านคุณ ทั้งหมดใช้ที่อยู่ของเซิร์ฟเวอร์ VPN ร่วมกัน
• ปกป้องชุดอุปกรณ์เดินทาง เราเตอร์เดินทางขนาดเล็กที่มีไคลเอนต์ VPN วางหน้า Streaming สติกหรือกล้องพกพาในห้องเช่า ครอบคลุมอุปกรณ์ที่รันแอปไม่ได้

ลองนึกว่าเป็นเสื้อกันหนาวคลุมทั้งกลุ่ม เสื้อช่วยกันลมหนาว แต่ไม่ได้ซ่อมรูรั่วของอุปกรณ์ที่อยู่ข้างใน

สิ่งที่ VPN บนเราเตอร์ไม่ทำ

ส่วนนี้คือสิ่งที่คู่มือส่วนใหญ่ข้ามไป

ปัญหา	VPN บนเราเตอร์แก้ได้ไหม	สิ่งที่ช่วยได้จริง
กล้องใช้รหัสผ่านเริ่มต้น	ไม่ได้	เปลี่ยนเป็นรหัสผ่านที่แข็งแรง และเปิดการยืนยันตัวตนสองขั้นตอนที่บัญชีแอป
อุปกรณ์มีเฟิร์มแวร์เก่าที่มีช่องโหว่	ไม่ได้	อัปเดต หรือเปลี่ยนอุปกรณ์
อุปกรณ์อื่นในบ้านถูกยึดควบคุม	ไม่ได้	แยก IoT ไว้เครือข่ายของตัวเอง
อุปกรณ์ส่งข้อมูลให้ผู้ผลิตเงียบ ๆ	ไม่ได้	ผู้ผลิตยังได้รับข้อมูล เปลี่ยนเพียงเส้นทาง
มีคนพยายามล็อกอินบัญชีแอปกล้องของคุณ	ไม่ได้	รหัสผ่านที่ไม่ซ้ำและการยืนยันตัวตนหลายขั้นตอน
ผู้ให้บริการอินเทอร์เน็ตเห็นปลายทางของบ้าน	บางส่วน	ผู้ให้บริการเห็นอุโมงค์แทนปลายทาง
ผู้โจมตีอยู่ในเครือข่ายภายในบ้าน	ไม่ได้	อุโมงค์เริ่มที่เราเตอร์ อุปกรณ์ภายในบ้านจึงยังเห็นกันเอง

แถวสุดท้ายสำคัญ VPN บนเราเตอร์ปกป้องทราฟฟิกหลังจากที่ออกจากเราเตอร์แล้วเท่านั้น ปลั๊กที่ถูกยึดในเครือข่ายเดียวกันยังพยายามเข้าถึงโน้ตบุ๊กหรือกล้องของคุณได้ เพราะอยู่ในเครือข่ายภายในเดียวกัน บทความ สิ่งที่ VPN ปกป้องคุณไม่ได้ อธิบายขีดจำกัดนี้ในภาพรวม

ทำสี่อย่างนี้ก่อนเพิ่ม VPN

อุโมงค์คือขั้นที่ห้า ไม่ใช่ขั้นแรก สี่ขั้นนี้มักลดความเสี่ยงได้มากกว่า

1. แยกเครือข่าย เราเตอร์ส่วนใหญ่มีเครือข่ายแขกหรือ Wi-Fi ชุดที่สอง ให้ย้ายอุปกรณ์ IoT ไปที่นั่น แล้วเก็บโน้ตบุ๊ก โทรศัพท์ และไฟล์เซิร์ฟเวอร์ไว้ที่เครือข่ายหลัก อุปกรณ์ในเครือข่ายแขกไม่ควรเข้าถึงอุปกรณ์ในเครือข่ายหลักได้ ถ้าเราเตอร์รองรับ VLAN แนวคิดเดียวกันควบคุมได้ละเอียดกว่า
2. เปลี่ยนรหัสผ่านและชื่อเริ่มต้นทุกตัว กล้องและกริ่งประตูถูกสแกนหาบัญชีจากโรงงานในอินเทอร์เน็ตตลอดเวลา ใช้รหัสผ่านที่ไม่ซ้ำต่ออุปกรณ์หรือต่อบัญชี
3. อัปเดต แล้วเปิดอัปเดตอัตโนมัติ ถ้าผู้ผลิตมีให้ หากอุปกรณ์ไม่ได้รับอัปเดตแล้ว ให้ถือเป็นตัวเลือกที่ควรแยกไว้เครือข่ายเฉพาะหรือเปลี่ยนใหม่
4. ปิดฟีเจอร์ระยะไกลที่ไม่ได้ใช้ อุปกรณ์จำนวนมากเปิดพอร์ตขาเข้าหรือการเชื่อมต่อรีเลย์ตามค่าเริ่มต้น ให้ปิด UPnP ที่เราเตอร์ และปิดการเข้าถึงผ่านคลาวด์สำหรับอุปกรณ์ที่ควบคุมในวงเครือข่ายภายในก็พอ

ความปลอดภัยของบัญชีก็สำคัญ เพราะเหตุการณ์ IoT ส่วนใหญ่เริ่มจากรหัสผ่านแอปที่ถูกขโมย ไม่ใช่การดักทราฟฟิก เปิดการยืนยันตัวตนสองขั้นตอนที่บัญชีแอปของกล้อง กริ่งประตู และเทอร์โมสตัท แนวทางของ CISA เรื่องการยืนยันตัวตนหลายปัจจัยอธิบายเหตุผลไว้

เลือกว่าอุปกรณ์ไหนควรผ่านอุโมงค์

คุณไม่ต้องใส่ทุกอย่างไว้หลัง VPN แผนที่ดีคือจัดกลุ่มอุปกรณ์ตามหน้าที่

ประเภทอุปกรณ์	ผ่าน VPN ไหม	เหตุผล
กล้องและกริ่งประตูที่อัปโหลดไปคลาวด์	มักควร	เนื้อหาอ่อนไหว ทราฟฟิกขาออกสม่ำเสมอ
ผู้ช่วยเสียงและลำโพงอัจฉริยะ	อาจ	ได้ประโยชน์เรื่องความเป็นส่วนตัว แต่ความหน่วงและพฤติกรรมตามภูมิภาคอาจเปลี่ยน
หลอดไฟ ปลั๊ก สวิตช์อัจฉริยะ	เลือกได้	ข้อมูลน้อย การควบคุมผ่านคลาวด์อาจเสียถ้าที่อยู่เปลี่ยน
เทอร์โมสตัทและเซนเซอร์	เลือกได้	ข้อมูลน้อย ทดสอบว่าแอปยังเข้าถึงได้
เครื่องพิมพ์และ NAS ในเครือข่ายภายใน	โดยทั่วไปไม่	คุยกับอุปกรณ์ภายในเป็นหลัก อุโมงค์ไม่เพิ่มอะไร
เครื่องเกมและ Streaming สติก	ดูเป็นกรณี	ความเร็วและการตรวจสอบของบริการอาจต่างไป

ความเป็นไปได้ขึ้นกับฟีเจอร์ VPN ของเราเตอร์ บางรุ่นส่งทราฟฟิกทั้งหมดผ่านอุโมงค์ รุ่นที่ดีกว่าให้เลือกอุปกรณ์ตามที่อยู่ภายในหรือแท็ก ดู split tunneling บนเราเตอร์ เพื่อรู้ว่าควรมองหาอะไร และ kill switch ของเราเตอร์ เพื่อเข้าใจว่าควรเกิดอะไรขึ้นเมื่ออุโมงค์หลุด หากอุโมงค์หลุดแล้วเราเตอร์กลับไปใช้เส้นทางปกติ อุปกรณ์จะยังทำงานแต่ทราฟฟิกไม่ได้รับการปกป้อง หากเราเตอร์บล็อกทราฟฟิก อุปกรณ์จะไม่มีอินเทอร์เน็ตจนกว่าอุโมงค์กลับมา เลือกพฤติกรรมที่เหมาะกับความสำคัญของอุปกรณ์แต่ละตัว

ตั้งค่า VPN บนเราเตอร์สำหรับ IoT ทีละขั้น

เมนูแตกต่างกันตามเราเตอร์ ให้ใช้โครงด้านล่างร่วมกับคำแนะนำของผู้ผลิตและคู่มือ ตั้งค่า VPN บนเราเตอร์

1. ตรวจว่าเราเตอร์ทำหน้าที่เป็นไคลเอนต์ VPN ได้ เราเตอร์ที่ผู้ให้บริการอินเทอร์เน็ตแจกให้หลายรุ่นทำไม่ได้ ถ้าของคุณทำไม่ได้ คุณวางเราเตอร์ตัวเล็กอีกตัวไว้ต่อท้ายให้ทำหน้าที่ VPN สำหรับเครือข่าย IoT ได้
2. ยืนยันว่าบริการ VPN ของคุณอนุญาตให้ใช้กับเราเตอร์ เงื่อนไขและการสนับสนุนของผู้ให้บริการแต่ละรายต่างกัน อ่านข้อมูลการตั้งค่าที่มากับบัญชีก่อนเริ่ม สำหรับ XPASS วิธีตั้งค่าและวิธีเชื่อมต่อที่รองรับแสดงอยู่ในหน้า My Pass ของคุณ
3. กรอกข้อมูลล็อกอิน VPN จากบัญชีลงในหน้าไคลเอนต์ VPN ของเราเตอร์ อย่าใส่ในภาพหน้าจอหรือข้อความแชต
4. สร้างเครือข่ายหรือกลุ่มแยกสำหรับ IoT ถ้าเราเตอร์รองรับ ให้ผูก VPN กับเครือข่ายนั้นเท่านั้น
5. เริ่มจากอุปกรณ์เดียว ให้กล้องหรือลำโพงหนึ่งตัวผ่านอุโมงค์ แล้วตรวจจากแอปบนโทรศัพท์หนึ่งวัน
6. ค่อย ๆ เพิ่มที่เหลือ ย้ายหนึ่งตัว ทดสอบแอป แล้วย้ายตัวถัดไป
7. จดวิธีย้อนกลับไว้ โน้ตที่เราเตอร์บอกขั้นตอนนำอุปกรณ์ออกจากอุโมงค์ ช่วยให้ไม่เสียเวลาทั้งเย็น

หากเราเตอร์รันไคลเอนต์ VPN ไม่ได้ คุณยังปกป้องอุปกรณ์ที่สำคัญได้ด้วยการเลือกรุ่นที่รันแอปได้ หรือใช้เราเตอร์เดินทางเป็นสะพานหน้า Streaming สติก

สามสถานการณ์จริง

อพาร์ตเมนต์ที่ใช้กล้องราคาถูก เว่ยติดตั้งกล้องราคาประหยัดสามตัวที่อัปโหลดคลิปไปยังแอปบนคลาวด์ เขาย้ายกล้องไปเครือข่ายแขกที่เปิดการแยกไคลเอนต์ เปลี่ยนรหัสผ่านจากโรงงาน เปิดการยืนยันตัวตนสองขั้นตอนของบัญชี แล้วส่งเครือข่ายแขกนั้นผ่าน VPN บนเราเตอร์ ผู้ให้บริการอินเทอร์เน็ตจึงไม่เห็นแล้วว่ากล้องติดต่อบริการใด หาก VPN หลุด กล้องจะหยุดอัปโหลดแทนที่จะสลับไปเส้นทางปกติเงียบ ๆ ซึ่งเป็นสิ่งที่เขาต้องการสำหรับกลุ่มนี้

ครอบครัวที่มีผู้ช่วยเสียง ครอบครัวของอันยามีลำโพงอัจฉริยะสองตัวและหลอดไฟอีกไม่กี่ดวง หลังย้ายลำโพงมาอยู่หลังอุโมงค์ คำสั่งเสียงช้าลงและบริการเพลงตัวหนึ่งขอยืนยันเพิ่ม เธอจึงปล่อยลำโพงไว้ในเส้นทางปกติ เพราะประโยชน์สำหรับเธอน้อย แล้วแยกลำโพงไว้ใน Wi-Fi ต่างหาก และปิดไมโครโฟนเมื่อไม่มีใครอยู่บ้านแทน

ห้องเช่า โตมัสเดินทางทำงานและพก Streaming สติก กล้องพกพา และเราเตอร์ตัวเล็ก เราเตอร์ตัวเล็กเชื่อมกับ Wi-Fi ของห้อง รันไคลเอนต์ VPN และให้เครือข่ายส่วนตัวของตัวเอง ทุกอย่างที่เขาเสียบเข้ามาได้รับการครอบคลุมโดยไม่ต้องแตะเครือข่ายของเจ้าของห้อง

แก้ปัญหาเมื่ออุปกรณ์หยุดทำงาน

ปัญหาหลังเปิด VPN พบบ่อยและมักอธิบายได้ง่าย

• อุปกรณ์ออฟไลน์ ลองนำออกจากอุโมงค์และดูว่ากลับมาไหม ถ้ากลับมา แสดงว่าอุโมงค์เป็นสาเหตุ ลองเซิร์ฟเวอร์อื่นจากการตั้งค่า VPN หรือปล่อยอุปกรณ์นี้ไว้นอกอุโมงค์
• แอปบอกว่าเข้าถึงอุปกรณ์ไม่ได้ แอปจำนวนมากหาอุปกรณ์ในเครือข่ายภายใน ถ้าโทรศัพท์กับอุปกรณ์อยู่คนละเครือข่าย การค้นหาอาจล้มเหลว ให้ย้ายมาอยู่เครือข่ายเดียวกัน หรือตรวจว่าทราฟฟิกภายในไม่ถูกบังคับเข้าอุโมงค์
• เสียงหรือวิดีโอหน่วง อุโมงค์เพิ่มความหน่วงเล็กน้อย เซิร์ฟเวอร์ที่ใกล้กว่าช่วยลดความหน่วง และการเชื่อมต่อด้วยสายเข้าเราเตอร์ก็ช่วยได้
• บริการขอยืนยันเพิ่มหรือแสดง CAPTCHA ที่อยู่นั้นเป็นของเซิร์ฟเวอร์ VPN ที่ใช้ร่วมกับผู้อื่น ปล่อยอุปกรณ์นั้นไว้นอกอุโมงค์หรือลองใหม่ภายหลัง
• ทุกอุปกรณ์ไม่มีอินเทอร์เน็ต ตรวจว่า kill switch ของเราเตอร์บล็อกทราฟฟิกเพราะอุโมงค์หลุดหรือไม่ เชื่อมอุโมงค์ใหม่หรือแก้ข้อมูลล็อกอิน
• อุปกรณ์หลุดตอนกลางคืน เราเตอร์บางรุ่นเจรจาอุโมงค์ใหม่ได้ไม่ดีหลังว่างนาน ให้อัปเดตเฟิร์มแวร์เราเตอร์ และลองตัวเลือกการเชื่อมต่ออื่นหากมี

ความผิดพลาดที่พบบ่อย

• คาดว่า VPN บนเราเตอร์จะซ่อมอุปกรณ์ที่มีรหัสผ่านอ่อนหรือซอฟต์แวร์ล้าสมัย
• ใส่ทุกอุปกรณ์ในเครือข่ายแบนราบเดียวแล้วพึ่งอุโมงค์เพื่อความปลอดภัย
• ส่งอุปกรณ์ที่ไวต่อความหน่วงผ่านอุโมงค์แล้วสงสัยว่าทำไมคำสั่งเสียงช้า
• ลืมทดสอบว่าเกิดอะไรขึ้นเมื่ออุโมงค์หลุด
• แชร์ข้อมูลล็อกอิน VPN ในแชตเพื่อ "ช่วยเพื่อนตั้งค่า"
• ซื้อเราเตอร์ที่รันไคลเอนต์ VPN ไม่ได้ เพราะอ่านรายการฟีเจอร์ที่พูดถึงแต่เซิร์ฟเวอร์ VPN

สรุป

อุปกรณ์ IoT รันแอป VPN ไม่ได้ เราเตอร์จึงเป็นที่ที่ใช้ได้จริงหากต้องการให้ทราฟฟิกของมันอยู่ในอุโมงค์ VPN ซ่อนสิ่งที่อุปกรณ์ติดต่อจากผู้ให้บริการอินเทอร์เน็ตและเข้ารหัสเส้นทางที่อ่อนตอนออกจากบ้าน แต่ไม่ได้ซ่อมรหัสผ่านอ่อน เฟิร์มแวร์ล้าสมัย หรืออุปกรณ์ร้ายในเครือข่ายของคุณเอง ควรแยกอุปกรณ์ IoT อัปเดต เปิดการยืนยันตัวตนสองขั้นตอนที่บัญชี แล้วส่งเฉพาะตัวที่ได้ประโยชน์ผ่านอุโมงค์ทีละตัว พร้อมแผนว่าจะเกิดอะไรขึ้นถ้าอุโมงค์หลุด

หากต้องการให้โน้ตบุ๊กและโทรศัพท์ได้รับการคุ้มครองเมื่อออกจากบ้านด้วย คุณดูตัวเลือกต่าง ๆ ได้ที่ หน้าราคา ตามสะดวก