IPv4 และ IPv6 มีผลกับ VPN อย่างไร

หลายคนพบความแตกต่างระหว่าง IPv4 กับ IPv6 ครั้งแรกในที่ที่ไม่คาดคิด คือหน้าทดสอบ VPN ที่แสดงที่อยู่สองแบบ แบบหนึ่งหน้าตาเหมือน 203.0.113.25 อีกแบบเหมือน 2001:db8:85a3::8a2e:370:7334 หรือคำเตือนว่า "ตรวจพบ IPv6 leak" ทั้งที่แอปบอกว่าปกป้องทุกอย่างอยู่ หน้าเหล่านี้สมมติว่าคุณรู้อยู่แล้วว่าที่อยู่สองชนิดคืออะไรและทำไมจึงอยู่ร่วมกัน บทความนี้เติมช่องว่างนั้นให้ผู้ใช้ VPN

เราจะไม่ทวนคู่มือเรื่อง leak ซึ่งอธิบายการตรวจจับอย่างละเอียดใน IP leak คืออะไร จุดโฟกัสที่นี่เป็นคำถามพื้นฐานกว่า คือระบบที่อยู่ทั้งสองแบบคืออะไร อุปกรณ์ของคุณทำอะไรกับมัน สองแบบต่างกันตรงไหนในเรื่องที่กระทบความเป็นส่วนตัวและความปลอดภัย และคุณควรตรวจอะไรในระบบของตัวเอง

ระบบเลขที่อยู่สองแบบที่ทำงานพร้อมกัน

ทุกอุปกรณ์บนอินเทอร์เน็ตต้องมีที่อยู่ เพื่อให้คำตอบหาทางกลับมาถูก IPv4 ซึ่งอธิบายใน RFC 791 ใช้ตัวเลข 32 บิตเขียนเป็นสี่กลุ่ม เช่น 203.0.113.25 ได้ที่อยู่ที่เป็นไปได้ราว 4.3 พันล้านที่อยู่ ตัวเลขที่ฟังดูมหาศาลในทศวรรษ 1980 แต่กลับน้อยเกินไปเมื่อโทรศัพท์ ทีวี กล้อง และหลอดไฟเข้ามาอยู่ในเครือข่าย

IPv6 ที่กำหนดใน RFC 8200 ใช้ตัวเลข 128 บิตเขียนเป็นกลุ่มเลขฐานสิบหก เช่น 2001:db8:85a3::8a2e:370:7334 โดยเครื่องหมายโคลอนคู่แทนชุดของเลขศูนย์ ปริมาณที่อยู่มากจนทุกอุปกรณ์มีที่อยู่ไม่ซ้ำใครทั่วโลกได้โดยไม่ต้องแบ่งกันใช้

ลักษณะ	IPv4	IPv6
ขนาดที่อยู่	32 บิต	128 บิต
ตัวอย่าง	203.0.113.25	2001:db8:85a3::8a2e:370:7334
อุปทานของที่อยู่	หมดแล้ว จึงต้องแบ่งกันใช้	มีมากมาย
การตั้งค่าบ้านทั่วไป	ที่อยู่สาธารณะเดียวที่ทุกอุปกรณ์ใช้ร่วมกันผ่าน NAT	แต่ละอุปกรณ์อาจได้ที่อยู่สาธารณะของตัวเอง
ที่อยู่ในเครือข่ายภายใน	ช่วงส่วนตัว เช่น 192.168.x.x (RFC 1918)	ที่อยู่แบบ unique local และ link-local
การแบ่งกันบนเครือข่ายมือถือ	ผู้ใช้จำนวนมากอยู่หลังที่อยู่เดียวผ่าน carrier-grade NAT	โดยมากแต่ละอุปกรณ์มีที่อยู่ต่างหาก
นิสัยด้านไฟร์วอลล์	NAT ซ่อนอุปกรณ์โดยบังเอิญ	อุปกรณ์เข้าถึงได้ เว้นแต่ไฟร์วอลล์ห้าม

อินเทอร์เน็ตกำลังย้ายจากแบบแรกไปแบบที่สองมาหลายปี และจะรันทั้งสองแบบต่อไปอีกนาน อุปกรณ์ส่วนใหญ่ทุกวันนี้เป็น dual-stack คือมีที่อยู่ทั้งสองชนิด และใช้ชนิดที่ทำงานได้ดีที่สุดกับแต่ละเว็บไซต์

ทำไม IPv4 ต้องแบ่งกันใช้ แต่ IPv6 ไม่ต้อง

เมื่อที่อยู่ IPv4 ขาดแคลน เครือข่ายแก้ด้วยการแบ่งกันใช้ ที่บ้าน เราเตอร์ได้ที่อยู่สาธารณะหนึ่งที่อยู่จากผู้ให้บริการ และแจกที่อยู่ส่วนตัว (แบบ 192.168 ตามที่นิยามใน RFC 1918) ให้อุปกรณ์ในบ้าน เราเตอร์แปลระหว่างทั้งสอง ซึ่งคือ NAT นี่คือเหตุผลที่ทุกอุปกรณ์ในบ้านดูเหมือนเป็นที่อยู่เดียวในสายตาของเว็บไซต์

ผู้ให้บริการไปไกลกว่านั้น เพราะแม้แต่สำหรับลูกค้าก็ยังมีที่อยู่สาธารณะไม่พอ ปัจจุบันหลายรายจึงวางลูกค้าไว้หลัง carrier-grade NAT ซึ่งหลายร้อยครัวเรือนใช้ที่อยู่สาธารณะเดียวร่วมกัน RFC 6598 สงวนช่วงพิเศษ 100.64.0.0/10 ไว้สำหรับลิงก์ระหว่างลูกค้ากับผู้ให้บริการ ถ้าที่อยู่ WAN ของเราเตอร์คุณขึ้นต้นด้วย 100.64 ถึง 100.127 แปลว่าคุณอยู่หลังชั้นเพิ่มเติมนี้

IPv6 ตัดความจำเป็นทั้งหมดนั้นออก มีที่อยู่เพียงพอสำหรับทุกอุปกรณ์ เราเตอร์จึงแจกที่อยู่จากบล็อกที่ผู้ให้บริการมอบหมาย และอุปกรณ์คุยกับอินเทอร์เน็ตโดยไม่ต้องแปล เครือข่ายมือถือจำนวนมากตอนนี้กำหนด IPv6 เป็นที่อยู่หลัก และแปลเป็น IPv4 เฉพาะเมื่อเว็บไซต์ต้องการ

เรื่องนี้สำคัญต่อผู้ใช้ VPN เพราะสิ่งที่เว็บไซต์เห็นเป็น "ที่อยู่ของคุณ" ขึ้นกับว่าอุปกรณ์ใช้ชนิดใดสำหรับการเชื่อมต่อนั้น และมีคนอื่นแบ่งใช้อยู่กี่คน

อุปกรณ์ของคุณน่าจะมีอะไร

คนส่วนใหญ่มีทั้งสองแบบโดยไม่รู้ วิธีตรวจใช้เวลาไม่กี่นาที

1. เปิดหน้าตรวจ IP ที่แสดง IPv4 และ IPv6 แยกกัน จดสิ่งที่แต่ละบรรทัดรายงาน หรือจดว่าไม่มีรายงาน IPv6 เลย
2. ตรวจบน Wi-Fi ที่บ้านและบนเน็ตมือถือ เพราะมักต่างกัน ผู้ให้บริการอินเทอร์เน็ตบ้านบางรายยังไม่ให้ IPv6 ขณะที่ผู้ให้บริการมือถือหลายรายให้ IPv6 เป็นอันดับแรก
3. บนคอมพิวเตอร์ เปิดรายละเอียดเครือข่าย บรรทัดที่ขึ้นต้นด้วย "inet6" หรือ "IPv6 address" แสดงสิ่งที่อุปกรณ์ถืออยู่ ที่อยู่ที่ขึ้นต้นด้วย fe80 เป็นแบบ link-local ไม่ออกนอกลิงก์ ที่อยู่ยาว ๆ ที่ขึ้นต้นด้วย 2 หรือ 3 คือ IPv6 สาธารณะ
4. ดูหน้าสถานะของเราเตอร์ ถ้ามีที่อยู่ WAN IPv6 และคำนำหน้าที่มอบหมาย แสดงว่าบ้านของคุณมี IPv6
5. สังเกตว่า IPv4 ของคุณอยู่ในช่วง 100.64 หรือไม่ ซึ่งบ่งว่าอยู่หลัง carrier NAT

ถ้าหน้าทดสอบแสดงเฉพาะ IPv4 และไม่มี IPv6 คุณอยู่บนเครือข่ายที่มีแต่ IPv4 ไม่มีอะไรผิด หมายความแค่ว่าเรื่อง IPv6 ไม่เกี่ยวกับการเชื่อมต่อนั้นในตอนนี้

VPN จัดการที่อยู่ทั้งสองชนิดอย่างไร

VPN สร้างอินเทอร์เฟซเครือข่ายเสมือน และทราฟฟิกที่ส่งเข้าไปจะเดินทางในอุโมงค์ อุโมงค์ออกแบบให้พา IPv4, IPv6 หรือทั้งสองได้ สิ่งที่เกิดขึ้นต่อไปขึ้นกับวิธีที่ VPN จัดการแต่ละชนิด

• อุโมงค์พาทั้งสองชนิด VPN ให้ที่อยู่อุโมงค์แก่อุปกรณ์ทั้งสองชนิด เว็บไซต์เห็นที่อยู่ของ VPN และไม่มีอะไรเลี่ยงไป นี่คือรูปแบบที่สมบูรณ์
• อุโมงค์พา IPv4 และบล็อก IPv6 แพ็กเก็ต IPv6 ถูกทิ้งที่อุปกรณ์ การเชื่อมต่อจึงใช้ IPv4 เท่านั้น ง่ายและปลอดภัย แต่เว็บที่ให้บริการเฉพาะทาง IPv6 จะโหลดไม่ได้
• อุโมงค์พา IPv4 อย่างเดียวและเมินเฉย IPv6 รูปแบบนี้สร้างปัญหา อุปกรณ์ยังมีการเชื่อมต่อ IPv6 ที่ใช้ได้บนเครือข่ายท้องถิ่น แอปหรือเบราว์เซอร์ที่ชอบ IPv6 จึงส่งทราฟฟิกออกทางปกติ นอกอุโมงค์ เว็บไซต์จึงเห็นที่อยู่ IPv6 จริงของคุณ แม้ฝั่ง IPv4 จะแสดงที่อยู่ของ VPN เรื่องราวเต็มของความล้มเหลวนี้อยู่ใน IP leak คืออะไร

อุปกรณ์เลือก IPv6 เมื่อทั้งสองใช้งานได้ ด้วยวิธีที่มักเรียกว่า Happy Eyeballs ซึ่งลองทั้งสองแล้วเลือกตัวที่เร็วกว่า ดังนั้นอุโมงค์ IPv4 อย่างเดียวไม่ได้แค่ล้มเหลวในการปกป้อง IPv6 แต่ล้มเหลวกับชนิดที่อุปกรณ์เลือกเป็นอันดับแรก

คุณบอกจากภายนอกไม่ได้ว่า VPN ตัวใดใช้การออกแบบแบบไหน จึงต้องทดสอบ ขั้นตอนอยู่ด้านล่าง

ความต่างด้านความเป็นส่วนตัวที่คุณลงมือทำได้จริง

ที่อยู่สองชนิดให้ข้อมูลเกี่ยวกับคุณแก่เว็บไซต์ต่างกัน

IPv4 ที่บ้าน ที่อยู่เดียวแทนทั้งครัวเรือนและเปลี่ยนเป็นครั้งคราว บนเครือข่าย carrier NAT มันแทนหลายครัวเรือนพร้อมกัน จึงเป็นตัวระบุที่เลือนราง VPN แทนที่ด้วยที่อยู่ของ VPN เองซึ่งใช้ร่วมกับผู้ใช้อื่น

IPv6 บ้านมักได้รับบล็อกที่มอบหมาย เช่น /56 หรือ /64 และอุปกรณ์สร้างที่อยู่ภายในนั้น ครึ่งแรกคงเดิมและระบุครัวเรือน แม้ครึ่งหลังจะหมุนเวียน ระบบปฏิบัติการมักเปิด privacy extensions ซึ่งนิยามใน RFC 4941 สร้างตัวระบุอินเทอร์เฟซชั่วคราวแบบสุ่ม ช่วยได้ แต่ไม่ซ่อนคำนำหน้า เว็บไซต์ที่เห็นคำนำหน้าเดิมตลอดหลายสัปดาห์เชื่อมการเข้าชมกับครัวเรือนเดียวกันได้

ดังนั้นที่อยู่ IPv6 ที่รั่วอาจระบุตัวตนได้มากกว่าที่อยู่ IPv4 ที่รั่วบนเครือข่ายที่ใช้ร่วมกัน แต่ก็ยังเป็นแค่สัญญาณหนึ่งในหลายสัญญาณ ลายนิ้วมือของเบราว์เซอร์ คุกกี้ และการล็อกอิน ระบุตัวคุณได้ไม่แพ้กัน ตามที่การทดสอบการติดตามของ EFF แสดง VPN ที่จัดการทั้งสองชนิดได้ถูกต้องซ่อนชั้นที่อยู่ แต่ไม่ซ่อนส่วนที่เหลือ

ความต่างด้านไฟร์วอลล์และการเปิดเผย

กับ IPv4 หลัง NAT อุปกรณ์ของคุณมีที่อยู่ส่วนตัวที่อินเทอร์เน็ตเข้าถึงโดยตรงไม่ได้ นั่นเป็นผลข้างเคียง ไม่ใช่การออกแบบด้านความปลอดภัย แต่ก็กันการเชื่อมต่อที่ไม่ได้เชิญออกไป กับ IPv6 อุปกรณ์อาจมีที่อยู่สาธารณะ การป้องกันจึงมาจากไฟร์วอลล์ของเราเตอร์ ซึ่งควรบล็อกการเชื่อมต่อขาเข้าที่ไม่ได้ร้องขอโดยปริยาย

สิ่งที่ควรตรวจ

• ไฟร์วอลล์ IPv6 ของเราเตอร์เปิดอยู่ เราเตอร์รุ่นปัจจุบันส่วนใหญ่เปิดไว้โดยปริยาย แต่เฟิร์มแวร์เก่าอาจไม่เปิด
• อุปกรณ์ในบ้านที่คุณไม่ตั้งใจเปิดสู่ภายนอก เช่นกล้อง เครื่องพิมพ์ และกล่องเก็บข้อมูล เข้าถึงจากอินเทอร์เน็ตไม่ได้ การสแกนพอร์ตจากภายนอกด้วยเครื่องมือที่เชื่อถือได้ตอบเรื่องนี้ได้
• ฟีเจอร์เข้าถึงระยะไกล รวมถึง port forwarding ตั้งค่าไว้ทั้งสองชนิดที่อยู่เมื่อคุณใช้ Port forwarding ของ VPN อธิบาย ครอบคลุมวิธีที่กฎเหล่านั้นทำงาน

VPN ไม่เปลี่ยนไฟร์วอลล์ของเราเตอร์ที่บ้าน แต่เปลี่ยนที่ที่ทราฟฟิกดูเหมือนมาจาก และส่งทราฟฟิกผ่านเครือข่ายของผู้ให้บริการซึ่งมีการกรองของตัวเอง

สถานการณ์ตัวอย่าง

เกมเมอร์ที่เชื่อมต่อลื่นไหล โอมาร์เล่นออนไลน์บนคอนโซลที่บ้าน คอนโซลเลือก IPv6 เมื่อผู้ให้บริการของเขามีให้ และ VPN ติดตั้งแค่ในแล็ปท็อป เขาไม่ต้องเปลี่ยนอะไร เกมไม่ได้ผ่าน VPN ชนิดที่อยู่ของแล็ปท็อปจึงไม่เกี่ยวกัน ต่อมาเขาใช้ VPN บนแล็ปท็อปเพื่อทำงานและรันหน้าทดสอบ IP พบเฉพาะที่อยู่ IPv4 ของ VPN และไม่มี IPv6 ซึ่งสอดคล้องกับอุโมงค์ที่บล็อกหรือจัดการ IPv6

นักเดินทางบนเครือข่ายมือถือ ปริยาลงจากเครื่องบินในต่างประเทศและใช้ซิมท้องถิ่น หน้าทดสอบแสดงที่อยู่ IPv6 แต่แสดง IPv4 ที่ใช้ร่วมกัน เว็บที่รองรับ IPv6 เห็นอย่างแรก เว็บรุ่นเก่าเห็นอย่างหลังผ่านขั้นตอนการแปล เมื่อเปิด VPN ทั้งสองบรรทัดแสดงที่อยู่ของ VPN เธอยังสังเกตว่าพอร์ทัลชำระเงินเก่าแห่งหนึ่งล้มเหลวเมื่อใช้ IPv6 แต่ใช้ได้เมื่อปิด IPv6 ในการตั้งค่าเครือข่ายของซิม นั่นเป็นปัญหาความเข้ากันได้ของเว็บ ไม่ใช่ความผิดของ VPN

คนทำงานระยะไกลกับการทดสอบ leak มาร์คัสเชื่อมต่อ VPN แล้วรันหน้าทดสอบ บรรทัด IPv4 แสดงที่อยู่ของ VPN ส่วนบรรทัด IPv6 แสดงที่อยู่จากผู้ให้บริการที่บ้านของเขา IPv6 กำลังรั่วเลี่ยงอุโมงค์ เขาลองตามลำดับ อัปเดตแอป VPN เชื่อมต่อใหม่ และตรวจว่าแอปมีการตั้งค่าจัดการ IPv6 หรือไม่ ถ้าไม่มี เขาปิด IPv6 ที่อะแดปเตอร์เครือข่ายนั้นเป็นวิธีชั่วคราวแล้วทดสอบใหม่ หลังเปลี่ยน บรรทัด IPv6 ว่างเปล่าและปัญหาหายไป

นักศึกษาในหอพัก หลินใช้เครือข่ายร่วมกับผู้พักอาศัยหลายร้อยคนหลัง carrier NAT IPv4 ของเธออยู่ในช่วงที่ใช้ร่วมกัน และเว็บ Streaming รายงานกิจกรรมผิดปกติจากที่อยู่ของเธอ เพราะผู้พักคนอื่นใช้ที่อยู่เดียวกัน VPN ไม่เปลี่ยนสิ่งที่ผู้พักคนอื่นทำ แต่ให้ที่อยู่ที่ต่างออกไปสำหรับทราฟฟิกของเธอเอง

ควรทำอะไร: เช็กลิสต์สั้น ๆ

1. รันหน้าทดสอบ IP ที่แสดงที่อยู่ทั้งสองชนิดขณะปิด VPN จดผลไว้
2. เชื่อมต่อ VPN แล้วทำซ้ำ คุณต้องการให้ทั้งสองบรรทัดแสดงที่อยู่ของ VPN หรือบรรทัด IPv6 ว่าง
3. ถ้าปรากฏที่อยู่ IPv6 จากผู้ให้บริการปกติของคุณ ให้อัปเดตแอป แล้วเชื่อมต่อใหม่
4. ถ้าปัญหายังอยู่ ตรวจการตั้งค่าในแอปว่ามีอะไรเกี่ยวกับ IPv6 หรือพิจารณาปิด IPv6 ที่อะแดปเตอร์เครือข่ายนั้นเป็นวิธีชั่วคราว
5. ตรวจซ้ำบนทุกเครือข่ายที่คุณใช้ประจำ เพราะ Wi-Fi ที่บ้าน เน็ตมือถือ และ Wi-Fi ที่ทำงานมักต่างกัน
6. ทดสอบใหม่หลังอัปเดตระบบปฏิบัติการและแอป ซึ่งเปลี่ยนพฤติกรรมได้
7. ตามด้วยการตรวจชุดเต็มใน วิธีตรวจว่า VPN ทำงานอยู่

ถ้าคุณดูแลเราเตอร์เองและวางแผนรัน VPN ที่นั่น VPN บนเราเตอร์กับแอป VPN อธิบายว่าการเลือกนั้นส่งผลต่ออุปกรณ์ที่ได้รับการครอบคลุมอย่างไร

ความผิดพลาดที่พบบ่อย

• ตีความ "IPv6 leak" ว่า VPN เสีย ทั้งที่การตั้งค่าแค่ต้องเปลี่ยนค่าหรืออัปเดต
• ปิด IPv6 ทุกที่ถาวรโดยไม่ทดสอบ แล้วสงสัยว่าทำไมบางเว็บช้าหรือเข้าไม่ได้
• ตรวจเครือข่ายเดียวแล้วคิดว่าผลใช้ได้กับทุกเครือข่าย
• สับสนระหว่างที่อยู่ fe80 ในเครื่องกับที่อยู่ IPv6 สาธารณะ
• อ่านแค่บรรทัด IPv4 บนหน้าทดสอบ
• คิดว่า IPv4 ที่ใช้ร่วมกันแปลว่าการเชื่อมต่อเป็นส่วนตัว
• เชื่อว่า IPv6 ปลอดภัยน้อยกว่าเสมอ ทั้งที่มันแค่ต้องมีไฟร์วอลล์แทน NAT

สรุป

IPv4 และ IPv6 เป็นระบบที่อยู่สองแบบที่ทำงานเคียงกัน IPv4 หายากและต้องแบ่งกันใช้ ส่วน IPv6 มีมากและมักไม่ซ้ำกันต่ออุปกรณ์ VPN ทำงานได้ดีเมื่อพาหรือบล็อกได้ทั้งสองชนิด แต่อุโมงค์ที่รองรับ IPv4 อย่างเดียวอาจปล่อยทราฟฟิก IPv6 ไว้นอกอุโมงค์ ให้ตรวจว่าคุณมีที่อยู่แบบใดบ้าง ทดสอบเมื่อเปิด VPN บนเครือข่ายที่ใช้ประจำ และแก้ช่องว่างของ IPv6 ด้วยการอัปเดตแอปหรือปรับการตั้งค่า การตั้งค่าที่ถูกต้องซ่อนชั้นที่อยู่ แต่ไม่ได้ทำให้คุณเป็นนิรนาม

ถ้าต้องการวิธีง่าย ๆ ในการทดสอบเหล่านี้บนอุปกรณ์ของคุณเอง หน้า ดาวน์โหลด มีลิงก์ไปยังแอป VPNclient ฟรี