วิธีตั้ง VPN บน DD-WRT

DD-WRT คือเฟิร์มแวร์จากชุมชนที่เข้ามาแทนซอฟต์แวร์ที่ติดมากับ Router หลายปีที่ผ่านมามันเป็นคำตอบมาตรฐานเมื่อ Router ขาดฟีเจอร์อย่าง VPN Client และยังขับเคลื่อนฮาร์ดแวร์รุ่นเก่าแบบ Broadcom ที่วางอยู่ในบ้านและออฟฟิศเล็กจำนวนมาก ถ้าคุณค้นหา VPN DD-WRT คุณน่าจะอยู่ในหนึ่งในสองสถานการณ์ คือใช้ DD-WRT อยู่แล้วและอยากเพิ่มอุโมงค์ หรือกำลังสงสัยว่าควรแฟลช Router เก่าดีไหม

คู่มือนี้ครอบคลุมทั้งสองกรณี ตั้งแต่การเลือก build ความเสี่ยงของการแฟลช การกรอกหน้า OpenVPN Client การเพิ่ม Kill Switch ไปจนถึงแก้ปัญหาทั่วไป ชื่อเมนูเปลี่ยนไปตาม build ให้ถือขั้นตอนเป็นรูปแบบทั่วไป ไม่มีการรับรองว่าบริการ VPN ใดจะทำงานบน Router ของคุณ XPASS ยังไม่ได้ทดสอบการตั้งค่าบน Router และวิธีที่รองรับคือแอป VPNclient ฟรี หากอยากอ่านภาพรวมที่ไม่ผูกกับเฟิร์มแวร์ ดูที่ คู่มือ VPN บน Router

ควรทำเรื่องนี้ไหม

การแฟลชเฟิร์มแวร์ของบุคคลที่สามคือการตัดสินใจ ไม่ใช่ค่าเริ่มต้น ก่อนเริ่มให้ชั่งน้ำหนักอย่างตรงไปตรงมา

เหตุผลที่ควรทำ

• Router เก่า ยังใช้งานได้ แต่เฟิร์มแวร์เดิมไม่มี VPN Client หรือเลิกอัปเดตแล้ว
• ต้องการอุโมงค์เดียวสำหรับทั้งบ้านและบางอุปกรณ์ลงแอปไม่ได้
• คุณถนัดอ่านคำแนะนำอย่างละเอียดและกู้เครื่องจากความผิดพลาดได้

เหตุผลที่ควรหยุด

• Router ของคุณมีหน้า VPN Client อยู่แล้ว ก็ใช้อันนั้น
• Router เป็นทางเชื่อมอินเทอร์เน็ตทางเดียวและคุณรับเน็ตล่มไม่ได้
• ตัวประมวลผลอ่อน การเข้ารหัสใช้ CPU หนัก Router เก่าอาจได้เพียงเศษเสี้ยวของความเร็วสายเมื่อผ่านอุโมงค์
• แอปบนแต่ละอุปกรณ์ครอบคลุมสิ่งที่คุณสนใจอยู่แล้ว บทความเปรียบเทียบ Router VPN กับแอป VPN พูดถึงข้อแลกเปลี่ยนเหล่านี้

อย่าลืมว่าเฟิร์มแวร์เก่ามีการสนับสนุนช้า การอัปเดตสำหรับ build ของ DD-WRT อาจไม่บ่อย จึงควรคิดถึงความปลอดภัยของ Router ที่ปล่อยทิ้งไว้บนเครือข่ายของคุณ

เลือก build ให้ตรงกับฮาร์ดแวร์ของคุณ

ทุกอย่างหลังจากนี้ขึ้นกับการจับคู่เฟิร์มแวร์กับฮาร์ดแวร์ให้ถูก DD-WRT ไม่ใช่ไฟล์เดียว แต่เป็นตระกูลของ build และการเลือกผิดคือทางที่พบบ่อยที่สุดที่ทำให้ Router พัง

1. ระบุรุ่นและเวอร์ชันฮาร์ดแวร์ จากป้าย ตัวต่อท้ายอย่าง v2 อาจหมายถึงชิปคนละตัว
2. ค้นรุ่นของคุณในฐานข้อมูล Router ของโครงการ รายการจะบอกว่ารองรับหรือไม่ แนะนำ build ใด และต้องมีขั้นตอนพิเศษสำหรับการแฟลชครั้งแรกไหม
3. อ่านหมายเหตุเฉพาะรุ่นและกระทู้ในฟอรัม ก่อนดาวน์โหลด มักมีคำเตือนเรื่องเวอร์ชันฮาร์ดแวร์ที่ควรเลี่ยง และขั้นตอนอย่างลำดับการรีเซ็ตเฉพาะหรือการติดตั้งเป็นขั้น
4. ตรวจขนาดและเนื้อหาของ build build ขนาดเล็กสำหรับเครื่องที่พื้นที่น้อยมักตัดฟีเจอร์ออก คุณต้องการอันที่ระบุว่ามี OpenVPN Client ถ้า build ที่แนะนำสำหรับรุ่นของคุณไม่มี VPN Client อาจใส่ไม่ได้บนฮาร์ดแวร์นั้น
5. ตรวจว่า build ใหม่พอ ที่ยังมีการดูแลพอสมควร และอ่านบันทึกเรื่องปัญหาที่ทราบอยู่แล้ว

คำถาม	ดูที่ไหน	ทำไมสำคัญ
รุ่นของฉันรองรับไหม	ฐานข้อมูล Router	จับคู่ผิดอาจทำให้เครื่องพัง
ควรใช้ build ไหน	รายการในฐานข้อมูลและหมายเหตุ	build แต่ละตัวมีฟีเจอร์ต่างกัน
มี OpenVPN ไหม	คำอธิบาย build	ถ้าไม่มีก็ไม่มี Client
พื้นที่พอไหม	สเปกฮาร์ดแวร์	เครื่องเล็กใส่ build ใหญ่ไม่ได้
ถ้าพังกู้อย่างไร	หมายเหตุเฉพาะรุ่น	รู้ทางถอยก่อนเริ่ม

ถ้าหาคำตอบว่าใช่ที่ชัดเจนไม่ได้ครบทุกแถว อย่าแฟลช

เตรียมตัวก่อนแฟลช

การเตรียมคือจุดที่ป้องกันปัญหา

• สำรองค่าเดิม ผ่านเฟิร์มแวร์ปัจจุบัน และจดข้อมูลล็อกอินอินเทอร์เน็ตถ้าผู้ให้บริการของคุณใช้ชื่อผู้ใช้และรหัสผ่าน
• ใช้การเชื่อมต่อผ่านสาย จากคอมพิวเตอร์เข้า Router อย่าแฟลชผ่าน Wi-Fi เด็ดขาด
• ให้ไฟนิ่ง การถูกขัดจังหวะกลางทางอาจทำให้ Router ใช้ไม่ได้ อย่าทำตอนฝนฟ้าคะนองหรือปลั๊กที่ไม่น่าไว้ใจ
• ดาวน์โหลดไฟล์ จากโครงการทางการ ตรวจชื่อไฟล์ให้ละเอียด และเก็บสำเนาเฟิร์มแวร์เดิมของผู้ผลิตไว้ถ้าหาได้
• อ่านขั้นตอนการกู้เครื่อง สำหรับรุ่นของคุณ เช่นโหมดกู้เครื่องหรือวิธีผ่านพอร์ตอนุกรมหรือ boot loader รู้ไว้ก่อนที่จะต้องใช้
• วางแผนช่วงที่เน็ตหยุด กันเวลาที่คนในบ้านออฟไลน์ได้

หลังแฟลช ทำตามคำแนะนำของรุ่นเรื่องการรีเซ็ตค่าและตั้งรหัสผู้ดูแลระบบใหม่ การเริ่มใหม่หมดช่วยเลี่ยงพฤติกรรมแปลก ๆ จากค่าที่หลงเหลือของเฟิร์มแวร์เก่า ตั้งรหัสผู้ดูแลระบบที่แข็งแรงทันที เพราะหน้าเว็บอาจใช้ที่อยู่ภายในแบบที่ระบุใน RFC 1918 ซึ่งทุกคนในเครือข่ายของคุณยังเข้าถึงได้

บริการ VPN ต้องให้อะไร

Client บน Router ทำงานกับข้อมูลดิบ ไม่ใช่การล็อกอินผ่านแอป Client ในตัวของ DD-WRT คือ OpenVPN ดังนั้นบริการต้องให้ข้อมูลแบบ OpenVPN ได้ ได้แก่ที่อยู่เซิร์ฟเวอร์และพอร์ต ชนิดการเชื่อมต่อ มักมีใบรับรองหรือคีย์ และบางครั้งมีชื่อผู้ใช้กับรหัสผ่าน บทความ OpenVPN ทำงานอย่างไร อธิบายว่าแต่ละส่วนหมายถึงอะไร และ แหล่งข้อมูลชุมชน OpenVPN อธิบายรูปแบบไฟล์คอนฟิก

สำหรับ XPASS หน้า My Pass แสดงวิธีตั้งค่าและวิธีเชื่อมต่อที่ใช้ได้กับ Pass ของคุณ และแอปล็อกอินด้วยชื่อผู้ใช้กับรหัสผ่านที่แสดงตรงนั้น เรายังไม่ได้ทดสอบ DD-WRT จึงอย่าสมมุติว่าข้อมูลตรงกับที่ Router ต้องการ ถือว่าคีย์หรือไฟล์คอนฟิกทุกชิ้นเป็นรหัสผ่าน เวลาขอความช่วยเหลือในฟอรัมสาธารณะ ให้ลบความลับออกก่อน

build ใหม่บางตัวมี WireGuard ด้วย ถ้าของคุณมี เว็บไซต์ WireGuard อธิบายแนวคิดไว้ แต่กฎเดิมใช้ได้ คือใช้เมื่อบริการให้ข้อมูลสำหรับมันเท่านั้น

กรอกหน้า OpenVPN Client

ใน build ทั่วไป Client อยู่ใต้เมนู Services ในแท็บชื่อ VPN ถ้อยคำและเลย์เอาต์ต่างกันไป ให้ตามรูปแบบ

1. เปิดใช้ OpenVPN Client ด้วยตัวเลือก Start
2. ที่อยู่หรือชื่อเซิร์ฟเวอร์และพอร์ต คัดลอกให้ตรงจากข้อมูลของคุณ
3. Tunnel device ตัวเลือกทั่วไปคือ TUN สำหรับ VPN แบบกำหนดเส้นทาง ใช้ตามที่บริการระบุ
4. Tunnel protocol UDP หรือ TCP ตามที่ระบุ UDP มักเร็วกว่า และ TCP บางครั้งผ่านเครือข่ายที่เข้มงวดได้ดีกว่า บทความ OpenVPN TCP เทียบกับ UDP อธิบายความต่าง
5. Encryption cipher และ hash ให้ตรงกับค่าในข้อมูลของคุณ ความไม่ตรงกันคือสาเหตุที่พบบ่อยของความล้มเหลว
6. User pass authentication ถ้าบริการใช้ชื่อผู้ใช้และรหัสผ่าน ให้เปิดและกรอก
7. ใบรับรองและคีย์ วาง CA certificate, client certificate และ key ลงช่องของมัน ถ้าบริการให้มา ระวังอย่าตัดบรรทัดหรือเพิ่มช่องว่าง
8. Additional configuration build หลายตัวมีกล่องข้อความสำหรับคำสั่งเพิ่มเติมจากไฟล์ของบริการ วางเฉพาะส่วนที่คุณเข้าใจ
9. NAT และตัวเลือกไฟร์วอลล์ เปิด NAT ให้อุปกรณ์ใน LAN ใช้ที่อยู่ของอุโมงค์ร่วมกันได้ และเปิดการป้องกันของไฟร์วอลล์ไว้
10. บันทึกและใช้ค่า ดูหน้าสถานะว่ามีข้อความเชื่อมต่อแล้วและมีที่อยู่ของอุโมงค์

ถ้าสถานะค้างที่กำลังเชื่อมต่อ ให้อ่านล็อก ซึ่งมักบอกเหตุผล เช่น ยืนยันตัวตนล้มเหลว ใบรับรองผิดพลาด หรือหมดเวลาเชื่อมต่อ

เพิ่ม Kill Switch

โดยค่าเริ่มต้น เมื่ออุโมงค์หลุด DD-WRT จะกลับไปใช้เส้นทางอินเทอร์เน็ตปกติ สิ่งที่เคยได้รับการปกป้องก็ไม่ได้รับการปกป้องทันที และคุณอาจไม่รู้ตัว Kill Switch เปลี่ยนเรื่องนี้ คือถ้าอุโมงค์ล่ม ทราฟฟิกจาก LAN จะถูกบล็อกไม่ให้ออกไป

วิธีที่ใช้บ่อยคือกฎไฟร์วอลล์ที่เพิ่มในส่วน Administration หน้า Commands แล้วบันทึกเป็น firewall script เพื่อให้ทำงานทุกครั้งที่เริ่มระบบ แนวคิดในภาษาง่าย ๆ คือทิ้งแพ็กเก็ตที่ส่งต่อออกจาก LAN ผ่านอินเทอร์เฟซ WAN ปกติ และปล่อยให้เฉพาะอินเทอร์เฟซของอุโมงค์ส่งผ่านได้ ชื่ออินเทอร์เฟซต่างกันตามฮาร์ดแวร์ (บริดจ์ LAN มักชื่อ br0 อุโมงค์มักเป็น tun0 และชื่อ WAN ต่างกันไป) จึงควรดูอินเทอร์เฟซของ Router ตัวเองก่อนคัดลอกตัวอย่างจากอินเทอร์เน็ต

รูปแบบง่าย ๆ มีหน้าตาดังนี้ โดยคุณต้องเปลี่ยนชื่อให้ตรงกับ Router ของคุณ

iptables -I FORWARD -i br0 -o WAN_INTERFACE -j DROP

ข้อควรระวังสำคัญ

• ทดสอบตอนที่คุณมีการเชื่อมต่อผ่านสาย เพราะกฎที่ผิดอาจตัดคุณออกจากเครื่อง
• เตรียมวิธีลบกฎไว้ ไม่ว่าจะล้างสคริปต์หรือรีเซ็ต
• ทราฟฟิกของตัว Router ไปยังเซิร์ฟเวอร์ VPN ยังต้องใช้อินเทอร์เฟซ WAN กฎข้างต้นมีผลกับทราฟฟิกที่ส่งต่อเท่านั้น
• จำข้อแลกเปลี่ยนไว้ อุโมงค์ที่ไม่เสถียรจะทำให้เน็ตหาย แทนที่จะรั่วเงียบ ๆ คู่มือเรื่อง VPN Kill Switch อธิบายแนวคิดนี้

DNS, MTU และการทดสอบ

DNS ถ้าอุปกรณ์ยังถามชื่อเว็บกับผู้ให้บริการอินเทอร์เน็ต ปลายทางของคุณก็ยังถูกเห็น ในหน้า VPN หรือหน้า setup ให้ตั้ง DNS เป็นของที่บริการ VPN แนะนำ หรือใช้ตัวแปลงชื่อที่เข้าถึงผ่านอุโมงค์ แล้วทดสอบ

MTU อุโมงค์เพิ่มส่วนเกิน ถ้าหน้าเว็บโหลดไม่ครบหรือดาวน์โหลดไฟล์ใหญ่ติด ให้ลดค่า MTU ของอุโมงค์ทีละน้อย กลไกอธิบายไว้ใน RFC 1191

รายการทดสอบ

1. หน้าสถานะแสดงว่าอุโมงค์เชื่อมต่ออยู่
2. อุปกรณ์ใน LAN แสดง IP สาธารณะต่างกันระหว่างเปิดและปิดอุโมงค์
3. การทดสอบ DNS แสดงตัวแปลงชื่อจากเส้นทางอุโมงค์
4. การหยุดอุโมงค์ตัดการเข้าถึงอินเทอร์เน็ต ถ้าคุณเพิ่ม Kill Switch
5. การรีบูตทำให้อุโมงค์กลับมาโดยไม่ต้องทำมือ
6. ทดสอบความเร็วผ่านสาย ปิดแล้วเปิดอุโมงค์ ความเร็วที่ลดลงอยู่ในระดับที่ยอมรับได้

แก้ปัญหา

ยืนยันตัวตนล้มเหลว กรอกชื่อผู้ใช้และรหัสผ่านใหม่ และตรวจว่าใบรับรองกับคีย์ครบสมบูรณ์ ยืนยันว่าเป็นของชนิดอุโมงค์ที่คุณเลือก

ค้างที่กำลังเชื่อมต่อ ตรวจวันที่และเวลาของ Router เพราะใบรับรองต้องการนาฬิกาที่แม่นยำ ตรวจว่าที่อยู่เซิร์ฟเวอร์และพอร์ตถูกต้อง และลองโปรโตคอลอีกแบบถ้าข้อมูลของคุณอนุญาต

เชื่อมต่อแล้วแต่ไม่มีอินเทอร์เน็ต ตรวจตัวเลือก NAT และไฟร์วอลล์ การตั้งค่า DNS และกฎ Kill Switch อาการเดียวกันพบได้บนอุปกรณ์อื่นด้วย

ช้ามาก CPU น่าจะเป็นขีดจำกัด ลอง cipher ที่เบากว่าถ้าบริการอนุญาต หรือย้ายงานไปใช้แอป

Router ไม่เสถียรหลังแฟลช ทำตามคำแนะนำการรีเซ็ตของรุ่น แฟลช build ที่แนะนำซ้ำถ้าจำเป็น และอย่าผสมค่าเก่ากับเฟิร์มแวร์ใหม่

เข้าหน้าเว็บไม่ได้ ใช้การเชื่อมต่อผ่านสายและขั้นตอนรีเซ็ตหรือกู้เครื่องของรุ่นตามที่ระบุในหมายเหตุ

ข้อจำกัดและความคาดหวัง

• อุโมงค์บน Router ครอบคลุมเฉพาะอุปกรณ์ที่บ้าน โน้ตบุ๊กที่อยู่นอกบ้านต้องมีแอปของตัวเอง
• ไม่ได้ป้องกันฟิชชิง รหัสผ่านอ่อน หรือมัลแวร์ และไม่ทำให้คุณไม่เปิดเผยตัวตน
• ฮาร์ดแวร์เก่าจำกัดความเร็ว อย่าคาดหวังความเร็วสูงจาก Router ที่ออกแบบมาหลายปีก่อน
• เฟิร์มแวร์ที่ไม่ค่อยได้รับการดูแลต้องระวังเป็นพิเศษ ใช้รหัสผู้ดูแลระบบที่แข็งแรง ไม่เปิดการจัดการระยะไกลถ้าไม่จำเป็น และปิดบริการที่ไม่ต้องใช้
• เว็บไซต์และแอปยังมีกฎของตัวเอง และบางแห่งไม่ไว้ใจที่อยู่ของ VPN

สรุป

การตั้ง VPN บน DD-WRT เริ่มจากตัดสินใจว่าการแฟลชคุ้มหรือไม่ จากนั้นจับคู่ build กับฮาร์ดแวร์ของคุณให้ตรง และยืนยันว่ามี OpenVPN Client เตรียมตัวให้รอบคอบ กรอกหน้า Client ด้วยข้อมูลที่บริการ VPN ของคุณให้ได้ เพิ่ม NAT และ Kill Switch แล้วทดสอบ IP, DNS และพฤติกรรมหลังรีบูต คาดว่า CPU ของ Router จะกำหนดเพดานความเร็ว XPASS ยังไม่ได้ทดสอบการตั้งค่าบน Router

ถ้าแอปบนอุปกรณ์เป็นทางที่ง่ายกว่า หน้าราคา อธิบายว่า Pass แบบเติมเงินที่มีจำนวนวันแน่นอนทำงานอย่างไร