วิธีตั้ง VPN บน OpenWrt (WireGuard และ OpenVPN)

OpenWrt คือระบบปฏิบัติการโอเพนซอร์สฟรีสำหรับ Router แทนที่จะได้เมนูตายตัวจากผู้ผลิต คุณจะได้ระบบ Linux ขนาดเล็กที่มีตัวจัดการแพ็กเกจ หน้าเว็บชื่อ LuCI และโครงสร้างการตั้งค่าที่อ่านเป็นข้อความธรรมดาได้ ความยืดหยุ่นนี้เองที่ทำให้คนที่ค้นหา VPN OpenWrt มักคุ้นกับเรื่องเครือข่าย เพราะ Router ทำได้เกือบทุกอย่าง แต่ไม่มีอะไรที่ทำให้เสร็จสำเร็จรูป

คู่มือนี้พาตั้ง VPN Client บน OpenWrt ด้วย WireGuard หรือ OpenVPN อธิบายว่าอินเทอร์เฟซกับโซนไฟร์วอลล์ประกอบกันอย่างไร วิธีสร้าง Kill Switch รวมถึง DNS, MTU และการทดสอบ บทความไม่ได้รับรองว่าบริการ VPN ใดจะทำงานด้วยวิธีนี้ XPASS ยังไม่ได้ทดสอบการตั้งค่าบน Router และวิธีที่รองรับคือแอป VPNclient ฟรี หากอยากอ่านภาพรวมที่ไม่ผูกกับเฟิร์มแวร์ก่อน ดูที่ คู่มือ VPN บน Router

เช็กว่าเครื่อง OpenWrt ของคุณพอสำหรับงานนี้

ก่อนติดตั้งอะไร ให้ตอบสามคำถาม

1. Router รุ่นนี้ได้รับการรองรับและใช้รุ่นปัจจุบันหรือไม่ ดูเวอร์ชันที่หน้าภาพรวมของ LuCI แล้วเทียบกับรุ่นที่ประกาศบนเว็บไซต์โครงการ รุ่นเก่ามักขาดการแก้ไขสำคัญ
2. พื้นที่เก็บข้อมูลพอไหม แพ็กเกจ VPN ใช้พื้นที่แฟลช เครื่องราคาถูกที่เหลือพื้นที่ไม่กี่เมกะไบต์อาจใส่ OpenVPN พร้อมไลบรารีไม่ไหว WireGuard เล็กกว่ามาก ตรวจพื้นที่ว่างที่หน้าภาพรวมหรือด้วยคำสั่ง df -h
3. ตัวประมวลผลแรงพอไหม การเข้ารหัสคืองานของ CPU เครื่องแกนเดี่ยวธรรมดาอาจได้เพียงเศษเสี้ยวของความเร็วสายเมื่อผ่านอุโมงค์ ฮาร์ดแวร์ที่มีตัวเร่งการเข้ารหัสหรือชิปที่เร็วกว่าจัดการได้ดีกว่า ควรวัดผลก่อนตัดสินใจ

และสำรองค่าไว้ด้วย ใน LuCI มีตัวเลือกสำรองข้อมูลใต้เมนูระบบที่ดาวน์โหลดไฟล์การตั้งค่าทั้งหมด เก็บไว้ในคอมพิวเตอร์ ไม่ใช่บน Router

อีกข้อคือการเข้าถึง ให้แน่ใจว่าเข้า Router ผ่านสายได้ เผื่อการแก้ไฟร์วอลล์ผิดพลาดจนหลุดจาก Wi-Fi OpenWrt มีโหมด failsafe สำหรับกู้เครื่อง แต่จะดีกว่าถ้าไม่ต้องใช้

เข้าใจวิธีที่ OpenWrt จัดระเบียบเครือข่าย

OpenWrt แยกสามแนวคิดที่เฟิร์มแวร์อื่นมักปะปนกัน

• อินเทอร์เฟซ (Interface) คือเครือข่ายเชิงตรรกะ ที่พบทั่วไปคือ LAN (บ้านของคุณ) WAN (ฝั่งอินเทอร์เน็ต) และที่คุณสร้างเพิ่ม เช่นอินเทอร์เฟซ VPN
• อุปกรณ์ (Device) คือพอร์ตจริงหรือเสมือนและอุโมงค์ที่อยู่เบื้องหลัง
• โซนไฟร์วอลล์ (Firewall zone) จัดกลุ่มอินเทอร์เฟซและกำหนดว่าอะไรส่งต่อระหว่างกันได้ ค่าทั่วไปอนุญาต LAN ส่งต่อไป WAN และบล็อกทราฟฟิกขาเข้าจาก WAN

VPN Client ก็คืออินเทอร์เฟซใหม่บวกโซนไฟร์วอลล์ใหม่ ทราฟฟิกจาก LAN จะถูกอนุญาตให้ส่งต่อเข้าโซน VPN แล้วตารางเส้นทางตัดสินว่าอะไรใช้อุโมงค์จริง ๆ เครือข่ายบ้านใช้ที่อยู่ภายในตามที่อธิบายใน RFC 1918 จึงควรให้ช่วงที่อยู่ของ LAN ต่างจากฝั่ง VPN เพื่อไม่ให้ซ้อนทับกัน

ถ้าโมเดลนี้ยังไม่คุ้น ลองใช้เวลาไม่กี่นาทีใน LuCI สำรวจ Network, Interfaces และ Firewall ก่อนเริ่ม ส่วนที่เหลือของคู่มือสมมุติว่าคุณหาหน้าเหล่านั้นเจอแล้ว

ติดตั้งแพ็กเกจ

ตัวจัดการแพ็กเกจต่างกันตามรุ่น รุ่นเก่าใช้ opkg รุ่นใหม่ใช้ apk จึงควรดูเอกสารโครงการสำหรับคำสั่งที่ตรงกับเวอร์ชันของคุณ ใน LuCI หน้า Software ใต้เมนู System ให้อัปเดตรายการแพ็กเกจและค้นหาตามชื่อได้

สำหรับ WireGuard โดยทั่วไปต้องมีเครื่องมือ WireGuard และแพ็กเกจรองรับโปรโตคอลใน LuCI สำหรับ OpenVPN ต้องมีแพ็กเกจ OpenVPN ที่คอมไพล์กับไลบรารีเข้ารหัสที่คุณเลือก และแอป LuCI ของมัน ชื่อแพ็กเกจอยู่ในรายการของโครงการ ประเด็นหลักคือ

• อัปเดตรายการแพ็กเกจก่อน ผ่านการเชื่อมต่อที่ไว้ใจได้
• ติดตั้งเท่าที่จำเป็น ทุกแพ็กเกจกินพื้นที่แฟลช
• รีบูตหรือรีสตาร์ตบริการเครือข่าย ถ้าชนิดอินเทอร์เฟซไม่โผล่ใน LuCI ภายหลัง และล้างแคชเบราว์เซอร์ถ้าโปรโตคอลใหม่ไม่ขึ้นในรายการ

รายละเอียดรูปแบบอยู่ที่ เว็บไซต์ WireGuard และ แหล่งข้อมูลชุมชน OpenVPN ส่วนบทความ WireGuard เทียบกับ OpenVPN ช่วยเลือกเมื่อทำได้ทั้งสองแบบ

บริการ VPN ต้องให้อะไรคุณ

OpenWrt ต้องการข้อมูลดิบ ไม่ใช่การล็อกอินผ่านแอป ชุดข้อมูลทั่วไปเป็นดังนี้

ชนิดอุโมงค์	สิ่งที่มักได้รับ
WireGuard	คีย์ส่วนตัวของคุณและคีย์สาธารณะของบริการ ที่อยู่ของอุโมงค์ ปลายทางเซิร์ฟเวอร์พร้อมพอร์ต และช่วงที่อยู่ที่อนุญาต
OpenVPN	ไฟล์คอนฟิก มักมีใบรับรอง และชื่อผู้ใช้กับรหัสผ่านถ้าบริการใช้

บริการของคุณให้ข้อมูลชุดไหนได้ เป็นคำถามที่ต้องถามบริการ สำหรับ XPASS หน้า My Pass แสดงวิธีตั้งค่าและวิธีเชื่อมต่อที่ใช้ได้กับ Pass ของคุณ และแอปล็อกอินด้วยชื่อผู้ใช้กับรหัสผ่านที่แสดงตรงนั้น เรายังไม่ได้ทดสอบ OpenWrt จึงอย่าสมมุติว่าข้อมูลเหล่านั้นใช้ได้ อย่าวางคีย์ส่วนตัวในเว็บบอร์ด ภาพหน้าจอ หรือแชต ให้ถือเป็นรหัสผ่าน

ตั้งค่า WireGuard Client

เส้นทางใน LuCI คือ Network, Interfaces, Add new interface เลือกโปรโตคอล WireGuard แล้วกรอกข้อมูล ฉบับข้อความในไฟล์ตั้งค่าเครือข่ายหน้าตาประมาณนี้ โดยตัวพิมพ์ใหญ่คือค่าแทนที่

config interface 'vpn'
    option proto 'wireguard'
    option private_key 'YOUR_PRIVATE_KEY'
    list addresses 'TUNNEL_ADDRESS/32'
    option mtu '1380'

config wireguard_vpn
    option public_key 'SERVICE_PUBLIC_KEY'
    option endpoint_host 'SERVER_ADDRESS'
    option endpoint_port 'PORT'
    option route_allowed_ips '1'
    list allowed_ips '0.0.0.0/0'
    option persistent_keepalive '25'

แต่ละส่วนทำอะไร

• private_key และ addresses ระบุฝั่งของคุณในอุโมงค์
• public_key และ endpoint ระบุบริการ คัดลอกให้ตรงทุกตัว
• allowed_ips 0.0.0.0/0 ร่วมกับ route_allowed_ips บอกให้ Router ส่งทราฟฟิก IPv4 ทั้งหมดผ่านอุโมงค์ ช่วงที่แคบกว่าจะส่งเฉพาะบางปลายทาง
• persistent_keepalive ช่วยให้อุโมงค์อยู่รอดผ่านเกตเวย์ NAT ที่อยู่หน้า Router
• mtu ตั้งต่ำลงเล็กน้อยเพื่อเว้นที่ให้ส่วนเกินของอุโมงค์ ปรับภายหลังได้ถ้าจำเป็น

ใช้ค่า แล้วตรวจสถานะใน LuCI หรือด้วยคำสั่ง wg show เวลา handshake ล่าสุดแปลว่าสองฝั่งหากันเจอแล้ว ถ้าไม่มี handshake มักเป็นเพราะคีย์ผิด ปลายทางผิด หรือพอร์ตถูกบล็อก

ตั้งค่า OpenVPN Client

สำหรับ OpenVPN ให้อัปโหลดหรือวางไฟล์คอนฟิกในส่วน OpenVPN ของ LuCI หรือวางไว้ในไดเรกทอรีคอนฟิกของ OpenVPN จากนั้นสร้างอินเทอร์เฟซสำหรับอุปกรณ์อุโมงค์ เพราะถ้าไม่มี ไฟร์วอลล์ก็ไม่มีอะไรให้ผูกโซน

ประเด็นสำคัญ

• ถ้าบริการต้องใช้ชื่อผู้ใช้และรหัสผ่าน ให้เก็บในไฟล์ auth แยกที่จำกัดสิทธิ์ แล้วอ้างถึงในคอนฟิก
• ตรวจว่าคอนฟิกไม่ได้ push เส้นทางที่คุณไม่คาดคิด ให้ไล่อ่านไฟล์แทนการเชื่อทั้งหมด
• เริ่มอินสแตนซ์ แล้วอ่านล็อก การเริ่มสำเร็จจะจบด้วยข้อความว่าการเริ่มต้นเสร็จสมบูรณ์
• ตรวจว่ามีอุปกรณ์อุโมงค์ แล้วกำหนดให้อินเทอร์เฟซใหม่ เพื่อให้ใส่เข้าโซนไฟร์วอลล์ได้

OpenVPN มีค่าให้ปรับมากมาย แต่อย่าเพิ่งจูนจนกว่าอุโมงค์พื้นฐานจะนิ่ง เปลี่ยนทีละอย่างและจดไว้

โซนไฟร์วอลล์ เส้นทาง และ Kill Switch

นี่คือหัวใจของการตั้งค่า

1. สร้างโซนไฟร์วอลล์ ตั้งชื่อตามอุโมงค์ โดยมีอินเทอร์เฟซ VPN เป็นสมาชิกเดียว เปิด masquerading ให้อุปกรณ์ใน LAN ใช้ที่อยู่ของอุโมงค์ร่วมกันได้ และเปิด MSS clamping
2. อนุญาตการส่งต่อจาก LAN ไปโซน VPN
3. ลบการส่งต่อจาก LAN ไป WAN นี่คือ Kill Switch เมื่อเหลือแต่ LAN ไป VPN อุปกรณ์จะมีทางออกอินเทอร์เน็ตเฉพาะตอนอุโมงค์ทำงาน ถ้าอุโมงค์หลุด แพ็กเก็ตก็ไม่มีที่ไป
4. ให้ตัว Router เองยังเข้าถึงได้ โซน WAN ยังต้องไปถึงปลายทางของ VPN ได้ เพราะอุโมงค์วิ่งบนการเชื่อมต่ออินเทอร์เน็ตปกติของคุณ ซึ่งทำงานได้เพราะทราฟฟิกของตัว Router แยกจากทราฟฟิกที่ส่งต่อ
5. ใช้ค่าและทดสอบ ควรทดสอบจากอุปกรณ์ที่ต่อสาย

แนวคิดนี้ตรงกับที่อธิบายในบทความ VPN Kill Switch คือให้พังแบบปิด ไม่ใช่พังแบบเปิด ข้อแลกเปลี่ยนคืออุโมงค์ที่ไม่เสถียรทำให้อุปกรณ์เน็ตหาย แทนที่จะสลับกลับเงียบ ๆ

ถ้าต้องการให้บางอุปกรณ์หรือบางปลายทางข้ามอุโมงค์ OpenWrt รองรับการกำหนดเส้นทางตามนโยบายผ่านแพ็กเกจเพิ่มเติมและกฎ เรื่องนี้ขั้นสูง ให้จดว่าคุณยกเว้นที่อยู่ใด จองที่อยู่ในการตั้งค่า DHCP ก่อน และทดสอบหลังเปลี่ยนทุกครั้ง

DNS, IPv6 และ MTU

สามรายละเอียดที่มักชี้ว่าการตั้งค่าไว้ใจได้หรือไม่

DNS ถ้าอุปกรณ์ยังถามชื่อเว็บกับผู้ให้บริการอินเทอร์เน็ต ปลายทางที่คุณท่องก็ยังเห็นได้ ให้ชี้การส่งต่อ DNS ของ Router ไปยังตัวแปลงชื่อที่เข้าถึงได้ผ่านอุโมงค์ หรือตัวที่บริการ VPN จัดให้ แล้วตรวจด้วยการทดสอบ บทความเรื่อง DNS leak บอกว่าควรดูอะไร

IPv6 ถ้าผู้ให้บริการให้ IPv6 แต่อุโมงค์ของคุณพาแต่ IPv4 อุปกรณ์อาจใช้ IPv6 นอกอุโมงค์ ให้ส่ง IPv6 ผ่านอุโมงค์ด้วย (ถ้าข้อมูลของคุณรองรับ) หรือปิด IPv6 บน LAN ขณะใช้ VPN ดูภาพรวมที่ IP leak

MTU อุโมงค์เพิ่มส่วนเกิน แพ็กเก็ตที่พอดีกับการเชื่อมต่อปกติอาจใหญ่เกินไปในอุโมงค์ อาการคือหน้าเว็บโหลดไม่ครบ ดาวน์โหลดไฟล์ใหญ่ติด และเว็บที่ใช้ HTTPS ค้าง กลไกนี้อธิบายไว้ใน RFC 1191 ให้ลดค่า MTU ของอุโมงค์ทีละน้อย ทดสอบซ้ำ และเปิด MSS clamping ไว้

ทดสอบ เฝ้าดู และแก้ปัญหา

ทำการตรวจเหล่านี้ทุกครั้งหลังเปลี่ยนค่า

1. Handshake หรือล็อก อุโมงค์รายงานว่าเชื่อมต่อสำเร็จล่าสุด
2. IP สาธารณะ อุปกรณ์ใน LAN แสดง IP สาธารณะต่างจากเดิม ปิดอุโมงค์เพื่อเปรียบเทียบ
3. ทดสอบ DNS ตัวแปลงชื่อที่เว็บทดสอบเห็นต้องอยู่ในเส้นทางอุโมงค์ ไม่ใช่ของผู้ให้บริการอินเทอร์เน็ต
4. ทดสอบ Kill Switch ปิดอินเทอร์เฟซอุโมงค์ อุปกรณ์ควรเน็ตหาย ไม่ใช่ยังใช้ได้
5. ทดสอบรีบูต รีสตาร์ต Router แล้วดูว่าทุกอย่างกลับมาเองโดยไม่ต้องทำมือ ตั้งให้อินเทอร์เฟซเปิดตอนบูต
6. ทดสอบความเร็ว วัดจากคอมพิวเตอร์ที่ต่อสาย ปิดอุโมงค์แล้วเปิด

ถ้ามีอะไรล้มเหลว

• ไม่มี handshake ตรวจคีย์ ปลายทาง และพอร์ตอีกครั้ง ยืนยันว่านาฬิกาของ Router ถูกต้อง
• มี handshake แต่ไม่มีทราฟฟิก ตรวจ allowed addresses, masquerading และกฎการส่งต่อ
• ใช้ได้ แล้วหยุดหลังผ่านไปพักหนึ่ง เพิ่ม keepalive ตรวจว่าที่อยู่ WAN เปลี่ยนไหม และอ่าน system log
• ช้า เทียบกับอุโมงค์ชนิดอื่น ลดสิ่งที่ผ่านอุโมงค์ หรือยอมรับว่า CPU คือขีดจำกัด
• ล็อกตัวเองออก ใช้สายแลน หรือบูตเข้า failsafe แล้วเรียกคืนไฟล์สำรองที่บันทึกไว้

ข้อจำกัดและความคาดหวังที่เหมาะสม

• อุโมงค์บน Router ปกป้องเฉพาะอุปกรณ์ที่บ้าน โน้ตบุ๊กที่ออกนอกบ้านต้องมีแอปของตัวเอง
• OpenWrt ให้ทั้งพลังและความรับผิดชอบไปพร้อมกัน ไฟร์วอลล์ที่ตั้งผิดอาจเปิดเผยเครือข่ายของคุณ
• การอัปเดตอาจเปลี่ยนแพ็กเกจและพฤติกรรม อ่านบันทึกการออกรุ่นและเก็บไฟล์สำรองค่า
• ไม่ได้ป้องกันฟิชชิงหรือรหัสผ่านอ่อน และไม่ทำให้คุณไม่เปิดเผยตัวตน
• ความเร็วขึ้นกับ CPU และชนิดอุโมงค์
• เว็บไซต์และแอปยังมีกฎของตัวเอง และบางแห่งไม่ไว้ใจที่อยู่ของ VPN

สรุป

การรัน VPN Client บน OpenWrt คือเลือก WireGuard หรือ OpenVPN ให้ตรงกับข้อมูลที่บริการให้ ติดตั้งแพ็กเกจที่ถูกต้อง สร้างอินเทอร์เฟซและโซนไฟร์วอลล์เฉพาะ ลบการส่งต่อ LAN ไป WAN เพื่อเป็น Kill Switch แล้วดูแล DNS, IPv6 และ MTU ทดสอบหลังเปลี่ยนทุกครั้ง เก็บไฟล์สำรอง และคาดว่า CPU ของ Router จะเป็นตัวกำหนดเพดานความเร็ว XPASS ยังไม่ได้ทดสอบการตั้งค่าบน Router

ถ้าอยากได้ทางที่ง่ายกว่า แอปบนแต่ละอุปกรณ์ใช้ได้โดยไม่ต้องทำสิ่งเหล่านี้เลย และ หน้าราคา อธิบายว่า Pass แบบเติมเงินที่มีจำนวนวันแน่นอนทำงานอย่างไร