NAS จำเป็นต้องใช้ VPN หรือไม่

เครื่อง NAS หรือ Network Attached Storage เป็นสิ่งที่เก็บของมีค่าที่สุดอย่างเงียบ ๆ ในหลายบ้านและออฟฟิศเล็ก ๆ ไม่ว่าจะเป็นรูปถ่ายครอบครัว เอกสารที่สแกนไว้ ไฟล์สำรองจากโน้ตบุ๊ก คลังเพลง หรือบางครั้งก็เป็นไฟล์งานของลูกค้า เพราะมันเปิดอยู่ตลอดและเชื่อมต่อเครือข่ายตลอดเวลา คนจึงมักถามว่า NAS ต้องมี VPN หรือไม่ คำตอบตรง ๆ คือวลี "VPN สำหรับ NAS" มีความหมายได้อย่างน้อยสองแบบที่ต่างกันมาก และการสับสนสองแบบนี้เป็นเหตุผลหลักที่คนซื้อเครื่องมือผิดประเภท หรือเปิดช่องโหว่โดยไม่รู้ตัว

บทความนี้จะแยกความหมายทั้งสองออกจากกัน บอกว่า VPN ช่วย NAS ได้จริงเมื่อไร และเมื่อไรที่ไม่ช่วย รวมถึงวิธีที่ปลอดภัยกว่าในการเข้าถึงไฟล์ตอนอยู่นอกบ้าน พร้อมเช็กลิสต์เสริมความแข็งแรงซึ่งสำคัญกว่าตัว VPN เสียอีก หากต้องการขั้นตอนเฉพาะรุ่น ให้ดูคู่มือ VPN บน Synology NAS และ VPN บน QNAP NAS ซึ่งลงรายละเอียดเมนูและตัวเลือกมากกว่า

สองคำถามที่ซ่อนอยู่ในวลีเดียว

เมื่อมีคนค้นหา VPN NAS ส่วนใหญ่หมายถึงหนึ่งในสองเรื่องนี้

คำถามแรก: จะเข้า NAS ที่บ้านจากข้างนอกอย่างปลอดภัยได้อย่างไร นี่คือเรื่องการเข้าถึงระยะไกล NAS อยู่ที่บ้านหลังเราเตอร์ ส่วนคุณอยู่ที่โรงแรม ออฟฟิศลูกค้า หรือร้านกาแฟ คุณต้องการเส้นทางที่เข้ารหัสจากมือถือหรือโน้ตบุ๊กย้อนกลับเข้าเครือข่ายที่บ้าน งานนี้เป็นของ VPN สำหรับเข้าถึงระยะไกล หรือเครื่องมือเครือข่ายแบบ mesh ที่ตั้งไว้ที่บ้าน

คำถามที่สอง: ควรให้ทราฟฟิกอินเทอร์เน็ตของ NAS เองออกผ่าน VPN หรือไม่ นี่คือเรื่องขาออก NAS ทำหน้าที่เป็นไคลเอนต์ มันดาวน์โหลดอัปเดตแพ็กเกจ ซิงก์คลาวด์ ดึงพอดแคสต์ หรือรันโปรแกรมดาวน์โหลด และคุณสงสัยว่าทราฟฟิกเหล่านั้นควรวิ่งผ่านอุโมงค์ VPN หรือไม่

แอป VPN สำหรับผู้ใช้ทั่วไป รวมถึงแอป VPNclient ฟรีที่ลูกค้า XPASS ใช้ล็อกอิน จัดอยู่ในกลุ่มที่สองอย่างดีที่สุด คือปกป้องทราฟฟิกของอุปกรณ์ที่ติดตั้งแอปโดยส่งผ่านเซิร์ฟเวอร์ VPN มันไม่ได้เปิดทางจากอินเทอร์เน็ตย้อนเข้ามาที่ห้องนั่งเล่นของคุณ การแยกสองคำถามนี้ให้ชัดจะทำให้ทุกการตัดสินใจหลังจากนั้นง่ายขึ้นมาก

เป้าหมาย	ทิศทางของอุโมงค์	เครื่องมือที่ใช้ทั่วไป	แอป VPN ทั่วไปช่วยได้ไหม
เปิดไฟล์จากห้องพักโรงแรม	เข้าไปที่เครือข่ายบ้าน	VPN เข้าถึงระยะไกล เครื่องมือ mesh ฟีเจอร์ในเราเตอร์	ไม่ได้
ซ่อนการดาวน์โหลดของ NAS จากผู้ให้บริการอินเทอร์เน็ต	ออกจากตัว NAS	ไคลเอนต์ VPN บน NAS หรือบนเราเตอร์	บางกรณี
ปกป้องโน้ตบุ๊กบน Wi-Fi ร้านกาแฟขณะใช้ NAS	ออกจากโน้ตบุ๊ก	แอป VPN บนโน้ตบุ๊ก	ได้ สำหรับฝั่งโน้ตบุ๊ก
ให้ญาติดูรูปถ่าย	เข้าไปที่เครือข่ายบ้าน	ลิงก์แชร์ที่มีรหัสผ่านแข็งแรง หรือ VPN เข้าถึงระยะไกล	ไม่ได้

ทำไม NAS จึงเป็นเป้าหมายที่น่าสนใจ

NAS ไม่ใช่แค่ฮาร์ดดิสก์ แต่เป็นคอมพิวเตอร์ขนาดเล็กที่รันหน้าเว็บจัดการ บริการแชร์ไฟล์ แอปรูปภาพ และแพ็กเกจเสริมอีกมากมาย ซอฟต์แวร์เหล่านี้ต้องอัปเดตอยู่เสมอ ผู้โจมตีไม่จำเป็นต้องรู้จักคุณเป็นการส่วนตัว โปรแกรมสแกนอัตโนมัติจะค้นหาหน้าล็อกอินของ NAS ยี่ห้อดัง ๆ ทั่วอินเทอร์เน็ต ลองรหัสผ่านที่พบบ่อย และมองหาช่องโหว่เก่า ๆ

นี่คือเหตุผลที่การเปิด NAS ตรง ๆ ออกอินเทอร์เน็ตมีความเสี่ยง เมื่อคุณตั้ง port forwarding ที่เราเตอร์เพื่อเข้าหน้าเว็บของ NAS จากข้างนอก หน้านั้นจะมองเห็นได้โดยทุกคนที่สแกนที่อยู่ IP ของบ้านคุณ รหัสผ่านที่แข็งแรงช่วยได้ แต่ข้อบกพร่องในซอฟต์แวร์ยังอาจถูกใช้ประโยชน์ได้ และมัลแวร์ที่เข้ารหัสไฟล์โดยเล็งไปที่ NAS ก็เคยเป็นปัญหาซ้ำ ๆ บทความ VPN port forwarding อธิบายว่าทำไมการเปิดพอร์ตจึงเป็นการแลกเปลี่ยนที่ต้องคิดให้ดี

ดังนั้นคำถามที่แท้จริงไม่ใช่ "ต้องมี VPN ไหม" แต่คือ "ต้องการให้ NAS มองเห็นได้จากทั้งอินเทอร์เน็ต หรือเฉพาะอุปกรณ์ที่พิสูจน์ตัวตนมาก่อนแล้ว" VPN สำหรับเข้าถึงระยะไกลให้คำตอบแบบหลัง คุณเชื่อมต่อกับจุดปลาย VPN ที่บ้านก่อน แล้วจึงเข้า NAS ด้วยที่อยู่ภายใน เช่นช่วงที่อธิบายไว้ใน RFC 1918 ราวกับนั่งอยู่บนโซฟาที่บ้านเอง

เข้า NAS จากระยะไกล: สามเส้นทางที่สมเหตุสมผล

หากต้องการไฟล์ระหว่างเดินทาง มีสามเส้นทางที่ทำได้จริง แต่ละแบบต่างกันที่ความยุ่งยาก การควบคุม และความเสี่ยง

เส้นทางที่ 1: เซิร์ฟเวอร์ VPN บนเราเตอร์หรือบน NAS

เราเตอร์หลายรุ่นและระบบปฏิบัติการของ NAS ส่วนใหญ่ติดตั้งเซิร์ฟเวอร์ VPN ได้ คุณเปิดใช้งาน สร้างผู้ใช้ ติดตั้งไคลเอนต์ที่เข้ากันบนมือถือหรือโน้ตบุ๊ก แล้วเชื่อมต่อก่อนเปิดแอป NAS วิธีนี้ซ่อนหน้าล็อกอินของ NAS จากอินเทอร์เน็ต คุณยังต้องเปิดพอร์ตหนึ่งช่องสำหรับตัว VPN เอง แต่ VPN สมัยใหม่ตอบเฉพาะอุปกรณ์ที่มีกุญแจถูกต้อง ซึ่งเป็นเป้าหมายที่เล็กกว่าเว็บแอปพลิเคชันเต็มรูปแบบมาก โครงการ WireGuard อธิบายแนวคิดนี้ไว้ชัดเจน ส่วนบทความ VPN ติดตั้งเองเทียบกับ VPN เชิงพาณิชย์ ช่วยให้ประเมินได้ว่าคุณพร้อมดูแลระบบเองแค่ไหน

เส้นทางที่ 2: เครื่องมือเครือข่ายแบบ mesh

เครื่องมือ mesh เชื่อมอุปกรณ์ของคุณเองเป็นเครือข่ายส่วนตัวโดยไม่ต้องเปิดพอร์ตที่เราเตอร์ ใช้การเชื่อมต่อขาออกที่ประสานงานผ่านบริการกลาง เหมาะกับคนที่ตั้งค่าเราเตอร์ไม่ได้หรือไม่อยากตั้ง ข้อแลกเปลี่ยนคือคุณต้องพึ่งบริการนั้นและความปลอดภัยของบัญชี ดูรายละเอียดได้ใน เครื่องมือ mesh VPN

เส้นทางที่ 3: รีเลย์บนคลาวด์ของผู้ผลิตหรือลิงก์แชร์

ผู้ผลิต NAS บางรายมีระบบรีเลย์หรือแชร์ลิงก์ของตัวเอง ใช้ง่ายที่สุดและไม่ต้องแตะเราเตอร์ แต่คุณต้องพึ่งบริการของผู้ผลิต และทุกลิงก์ที่แชร์คือประตูบานเล็ก ๆ ที่ควรตั้งวันหมดอายุหรือใส่รหัสผ่าน ให้ถือว่าเป็นความสะดวกสำหรับแชร์ไฟล์ไม่กี่ไฟล์ ไม่ใช่รากฐานของคลังข้อมูลทั้งหมด

ส่วน "เส้นทางที่สี่" ที่เราไม่แนะนำคือการฟอร์เวิร์ดหน้าเว็บของ NAS ออกอินเทอร์เน็ตตรง ๆ เพราะทำได้เร็ว มันเร็วสำหรับคุณ และเร็วสำหรับตัวสแกนเช่นกัน

เมื่อไรที่ตัว NAS ควรใช้ไคลเอนต์ VPN

ต่อไปคือเรื่องขาออก การให้ NAS อยู่หลังไคลเอนต์ VPN มีเหตุผลในบางกรณีเฉพาะ

• งานดาวน์โหลดหรือซิงก์ที่ไม่อยากให้ผู้ให้บริการอินเทอร์เน็ตเห็นปลายทาง หาก NAS รันโปรแกรมดึงพอดแคสต์ มิเรอร์ซอฟต์แวร์ หรือเครื่องมือซิงก์ VPN จะซ่อนปลายทางจากผู้ดูแลเครือข่ายในพื้นที่
• NAS ของออฟฟิศเล็กที่ต้องเข้าถึงเครือข่ายบริษัท NAS จะเข้าร่วม VPN ขององค์กรเพื่อส่งไฟล์สำรองไปสำนักงานใหญ่หรือสาขา นี่เป็นการตั้งค่าแบบ site-to-site มากกว่าแอป VPN สำหรับผู้บริโภค
• พก NAS ขนาดเล็กไปเดินทาง ถ้าคุณพก NAS พกพาไปเสียบกับเครือข่ายโรงแรมหรือลูกค้า ไคลเอนต์ VPN บนเราเตอร์เดินทางที่อยู่ด้านหน้าจะปกป้องทุกอย่างที่อยู่ข้างหลังเราเตอร์นั้น

ในกรณีอื่นจำนวนมากไม่จำเป็น การแชร์ไฟล์ภายในระหว่างโน้ตบุ๊กกับ NAS ไม่ต้องผ่านเซิร์ฟเวอร์ VPN เลย และการบังคับให้ผ่านอาจทำให้การค้นหาอุปกรณ์เสีย การโอนช้าลง และทำให้แอปที่คาดว่าจะเจอ NAS ในเครือข่ายภายในสับสน หากตั้งไคลเอนต์ VPN บน NAS ให้ตรวจดูว่ามันจัดการทราฟฟิกของที่อยู่ภายในบ้านอย่างไร สิ่งที่ดีคือทราฟฟิกภายในยังอยู่ภายใน และมีเฉพาะทราฟฟิกที่ไปอินเทอร์เน็ตเท่านั้นที่ใช้อุโมงค์ แนวคิดเดียวกับ split tunneling

ทางเลือกที่เรียบร้อยกว่าสำหรับหลายบ้านคือรัน VPN ที่เราเตอร์ เลือกอุปกรณ์บางตัวให้ผ่าน VPN ส่วน NAS ใช้เส้นทางปกติ คู่มือ ตั้งค่า VPN บนเราเตอร์ อธิบายสิ่งที่ต้องทำและข้อจำกัดที่ควรคาดไว้

สามสถานการณ์จริง

สถานการณ์ A: คลังรูปที่บ้าน พลอยเก็บรูปครอบครัวย้อนหลังยี่สิบปีไว้ใน NAS สองช่อง เธอเข้าถึงจากที่บ้านเท่านั้น ความเสี่ยงใหญ่สุดของเธอคือดิสก์เสียและรหัสผ่านแอดมินที่อ่อน ไม่ใช่การไม่มี VPN เธอเปิดอัปเดตอัตโนมัติ เปิดการยืนยันตัวตนสองขั้นตอน ตั้งสำรองข้อมูลชุดที่สองไว้นอกบ้าน และไม่เปิด NAS ให้อินเทอร์เน็ตเห็น ตัว NAS จึงไม่ต้องมี VPN

สถานการณ์ B: ฟรีแลนซ์ที่เดินทางบ่อย มาร์คัสตัดต่อวิดีโอบนโน้ตบุ๊กและเก็บไฟล์โปรเจกต์ไว้ที่ NAS ในสตูดิโอ เขาต้องการไฟล์เหล่านั้นตอนอยู่ที่ออฟฟิศลูกค้าและสนามบิน เขาเปิดเซิร์ฟเวอร์ VPN บนเราเตอร์ สร้างโปรไฟล์หนึ่งอันสำหรับโน้ตบุ๊กและอีกอันสำหรับมือถือ และเชื่อมต่อก่อนเปิด NAS บน Wi-Fi สาธารณะเขาได้รับการปกป้องสองชั้น คือจุดปลาย VPN ซ่อน NAS จากอินเทอร์เน็ต และอุโมงค์ซ่อนทราฟฟิกจากเครือข่ายที่เขานั่งอยู่ เขายังเก็บสำเนาไฟล์สำคัญแบบอ่านอย่างเดียวไว้ในคลาวด์เผื่อฉุกเฉิน

สถานการณ์ C: ร้านเล็ก ๆ นักบัญชีแชร์ NAS กับเพื่อนร่วมงานอีกสามคน สองคนทำงานจากบ้านสัปดาห์ละสองวัน เราเตอร์ที่ออฟฟิศรัน VPN โดยแยกบัญชีรายบุคคล เมื่อโน้ตบุ๊กหายก็ปิดบัญชีเฉพาะเครื่องนั้นได้โดยไม่ต้องเปลี่ยนรหัสผ่านของทุกคน แนวทางด้านความปลอดภัยของการทำงานทางไกลจาก NIST ก็เสนอหลักการเดียวกัน คือการยืนยันตัวตนที่แข็งแรง การจำกัดสิทธิ์ และการอัปเดตซอฟต์แวร์เข้าถึงระยะไกลอยู่เสมอ

เช็กลิสต์เสริมความแข็งแรงที่สำคัญกว่า VPN

ไม่ว่าจะใช้ VPN หรือไม่ ควรทำรายการนี้ให้ครบ เพราะป้องกันเหตุได้มากกว่าอุโมงค์ใด ๆ

1. อัปเดตเฟิร์มแวร์และแพ็กเกจ เป็นประจำ และลบแพ็กเกจที่ไม่ได้ใช้
2. ปิดบัญชีแอดมินเริ่มต้น และใช้รหัสผ่านที่ไม่ซ้ำและยาวสำหรับผู้ใช้แต่ละคน
3. เปิดการยืนยันตัวตนสองขั้นตอน สำหรับหน้าแอดมิน แนวทาง multi-factor ของ CISA อธิบายว่าทำไมจึงหยุดการโจมตีที่ใช้แค่รหัสผ่านได้เกือบทั้งหมด
4. ปิดบริการที่ไม่ใช้ ถ้าไม่เคยใช้ FTP, Telnet หรือโปรโตคอลแชร์ไฟล์รุ่นเก่า ให้ปิดไปเลย
5. ตรวจเราเตอร์ ดูว่ามีพอร์ตที่ถูกฟอร์เวิร์ดอยู่ไหม และมีฟีเจอร์เปิดพอร์ตอัตโนมัติที่อาจเปิด NAS ออกไปโดยที่คุณไม่ทันสังเกตหรือเปล่า
6. ใช้หลัก 3-2-1 กับการสำรองข้อมูล มีสามชุด บนสื่อบันทึกสองประเภท และหนึ่งชุดอยู่นอกสถานที่ NAS ที่อยู่ในห้องเดียวไม่ใช่การสำรองที่รับมือไฟไหม้หรือการโจรกรรม
7. สร้าง snapshot ระบบ NAS จำนวนมากเก็บ snapshot แบบอ่านอย่างเดียวที่ช่วยกู้คืนจากการลบพลาดหรือมัลแวร์เข้ารหัสไฟล์
8. ตรวจบันทึกการเข้าใช้เป็นระยะ ดูความพยายามล็อกอินจากที่อยู่ที่คุณไม่รู้จัก
9. เข้ารหัสโฟลเดอร์ที่แชร์ ซึ่งมีเอกสารสำคัญ และเก็บกุญแจไว้ที่อื่นที่ไม่ใช่ตัว NAS

ความเร็ว แบตเตอรี่ และการแก้ปัญหา

VPN เพิ่มภาระทั้งสองฝั่งของการเชื่อมต่อ การเข้า NAS ผ่าน VPN จากระยะไกลถูกจำกัดโดยความเร็วอัปโหลดที่บ้าน ความเร็วของเครือข่ายที่คุณใช้อยู่ และพลังประมวลผลของอุปกรณ์ที่โฮสต์ VPN เราเตอร์ขนาดเล็กอาจรับปริมาณข้อมูลได้พอประมาณ ส่วน NAS ที่มีซีพียูรุ่นใหม่มักทำได้ดีกว่า หากการโอนไฟล์ใหญ่รู้สึกช้า ให้ทดสอบตามลำดับนี้

1. ลองโอนไฟล์เดิมผ่าน Wi-Fi ในบ้านโดยไม่ใช้ VPN เพื่อยืนยันว่าตัว NAS เร็วพอ
2. ตรวจความเร็วอัปโหลดของบ้าน การอ่านไฟล์จากระยะไกลขึ้นกับตัวเลขนี้ ไม่ใช่ความเร็วดาวน์โหลดที่ผู้ให้บริการโฆษณา
3. ลองเปลี่ยนเครือข่ายหรือใช้ข้อมูลมือถือ เพื่อแยกปัญหาจากอินเทอร์เน็ตของโรงแรม
4. ดูการใช้ซีพียูของเครื่องที่โฮสต์ VPN ขณะโอนไฟล์
5. ลองลดขนาดแพ็กเก็ต หากการเชื่อมต่อเริ่มได้แต่ค้างตอนส่งไฟล์ใหญ่

หากเชื่อมต่อไม่ได้เลย สาเหตุที่พบบ่อยคือที่อยู่ IP ของบ้านเปลี่ยน เราเตอร์ที่ถูกจัดให้ใช้ที่อยู่ร่วมกันในระดับผู้ให้บริการ หรือพอร์ตที่ฟอร์เวิร์ดไว้ถูกรีเซ็ตหลังอัปเดตเฟิร์มแวร์ บริการ DNS แบบไดนามิกหรือเครื่องมือ mesh แก้สองข้อแรกได้ ถ้า NAS หายไปจากการมองเห็นหลังเปิดไคลเอนต์ VPN บนโน้ตบุ๊ก ให้จำไว้ว่า VPN อาจรับทราฟฟิกภายในไปด้วย ลองตัดการเชื่อมต่อหรือใช้ split tunneling กับเครือข่ายภายในแล้วทดสอบใหม่

ความผิดพลาดที่พบบ่อย

• ซื้อแอป VPN ทั่วไปแล้วคาดว่าจะเปิดทางเข้า NAS จากข้างนอกได้
• ฟอร์เวิร์ดหน้าเว็บ NAS ออกอินเทอร์เน็ต "แค่สัปดาห์เดียว" แล้วปล่อยไว้เป็นปี
• ใช้บัญชีแอดมินเริ่มต้นกับรหัสผ่านเดิมเป็นเวลานาน
• ให้ NAS อยู่หลังไคลเอนต์ VPN โดยไม่ตรวจว่าการแชร์ในเครือข่ายภายในยังทำงานอยู่
• ถือว่า NAS เป็นสำเนาเดียวของไฟล์สำคัญ
• ข้ามการอัปเดตเพราะ NAS "ก็ใช้ได้ดีอยู่แล้ว"
• แชร์โปรไฟล์ VPN เดียวให้หลายคนใช้ จนไม่อาจถอนสิทธิ์เครื่องที่หายเพียงเครื่องเดียว

สรุป

คุณไม่จำเป็นต้องมี VPN เพื่อใช้ NAS ภายในบ้าน แต่ต้องมี VPN หรือเครื่องมือเข้าถึงส่วนตัวที่คล้ายกัน หากต้องการเข้า NAS จากที่อื่นโดยไม่เปิดหน้าล็อกอินให้อินเทอร์เน็ตเห็น แอป VPN ทั่วไปปกป้องทราฟฟิกของอุปกรณ์ที่ติดตั้งและเป็นความคิดที่ดีบน Wi-Fi สาธารณะ แต่ไม่ได้สร้างเส้นทางย้อนกลับเข้าเครือข่ายบ้าน สิ่งที่มีประโยชน์ที่สุดคือการอัปเดต รหัสผ่านที่ไม่ซ้ำ การยืนยันตัวตนสองขั้นตอน การปิดพอร์ตที่ไม่จำเป็น และการสำรองข้อมูลที่ทำจริง

หากต้องการวิธีง่าย ๆ ปกป้องโน้ตบุ๊กและมือถือขณะใช้ NAS จากร้านกาแฟหรือโรงแรม คุณดู หน้าราคา ได้ตามสะดวกว่าแพ็กเกจแบบเติมเงินระยะสั้นเหมาะกับคุณหรือไม่