วิธีตั้ง VPN บน OPNsense สำหรับเครือข่ายในบ้าน

OPNsense เป็นแพลตฟอร์มไฟร์วอลล์และเราเตอร์โอเพนซอร์ส หลายบ้านเลือกใช้เมื่อเราเตอร์ตามร้านเริ่มรู้สึกว่าทำอะไรได้น้อยไป มันรันบนพีซีเครื่องเล็กไร้พัดลมหรืออุปกรณ์เฉพาะ จัดการผ่านหน้าเว็บ และมีความสามารถอย่าง VLAN กฎไฟร์วอลล์ละเอียด และเทคโนโลยี VPN หลายแบบ สำหรับเครือข่ายในบ้าน คำถามที่น่าสนใจจึงไม่ใช่ "ต้องกดเมนูไหนบ้าง" แต่คือ "ส่วนไหนของครัวเรือนควรใช้ VPN และจะทำให้การจัดการนั้นเสถียรได้อย่างไร"

คู่มือนี้มองจากมุมของบ้านเป็นหลัก เราเริ่มจากออกแบบว่าใครและอะไรควรผ่านอุโมงค์ จากนั้นไล่การตั้งค่าตามลำดับที่ OPNsense ต้องการ แล้วต่อด้วย DNS การอัปเดต การสำรองข้อมูล และการทดสอบ ชื่อเมนูเปลี่ยนไปตามรุ่น จึงควรถือขั้นตอนเหล่านี้เป็นแผนที่ ไม่ใช่สคริปต์ หากยังไม่เคยเปรียบเทียบไฟร์วอลล์กับแอปธรรมดา VPN บนเราเตอร์ เทียบกับแอป VPN เป็นจุดเริ่มที่ดี

เริ่มจากแผนที่ของครัวเรือน ไม่ใช่จากเมนู

ก่อนแตะ OPNsense ให้เขียนก่อนว่าในเครือข่ายมีอะไรบ้าง บ้านทั่วไปมีอุปกรณ์หลายประเภทกว่าที่คิด และแต่ละประเภทควรได้รับการตัดสินใจแยกกัน

กลุ่มอุปกรณ์	ตัวอย่าง	ทางเลือกที่สมเหตุสมผล
เครื่องทำงาน	โน้ตบุ๊ก พีซีห้องทำงาน	ผ่านอุโมงค์ได้หากกฎของที่ทำงานอนุญาต หลายครั้งปล่อยให้ใช้ VPN ของบริษัทเองจะดีกว่า
ความบันเทิง	สมาร์ททีวี สติ๊ก Streaming เครื่องเกม	ผ่านอุโมงค์ถ้าต้องการ แต่บางบริการอาจไม่ชอบ VPN
มือถือและแท็บเล็ต	เครื่องของครอบครัวที่ใช้ Wi-Fi บ้าน	ใช้แอปบนเครื่อง หรือผ่านอุโมงค์ แต่ไม่ควรใช้ทั้งสองอย่าง
อุปกรณ์สมาร์ทโฮม	กล้อง กริ่งประตู ปลั๊ก	มักใช้การเชื่อมต่อปกติ เพื่อให้สั่งงานจากข้างนอกได้
แขก	มือถือของผู้มาเยือน	เครือข่าย Wi-Fi แขกแยกต่างหาก ใช้การเชื่อมต่อปกติ
เซิร์ฟเวอร์และเครื่องพิมพ์	NAS เครื่องพิมพ์	ใช้ในบ้านเท่านั้น ไม่ผ่านอุโมงค์

ตารางนี้ให้บทเรียนสองข้อ ข้อแรก "ทุกอย่างผ่าน VPN" แทบไม่ใช่คำตอบที่ดีที่สุดสำหรับบ้าน อุปกรณ์ที่สั่งผ่านแอปตอนอยู่นอกบ้านอาจใช้ไม่ได้ เครื่องพิมพ์อาจเข้าไม่ถึง และบริการธนาคารหรือวิดีโอบางแห่งอาจมีปัญหา ข้อสอง อุปกรณ์หนึ่งเครื่องควรมีเส้นทาง VPN เดียว ไม่ใช่สองเส้น มือถือที่เปิดแอป VPN ซ้อนบนอุโมงค์ของไฟร์วอลล์ เพิ่มชั้นการเข้ารหัสอีกชั้นและทำให้เกิดข้อผิดพลาดแปลก ๆ ได้

ให้วาดการตัดสินใจเป็นเครือข่าย เช่น "ไว้ใจ" "ผ่านอุโมงค์" "อุปกรณ์สมาร์ท" และ "แขก" ภาพนี้จะกลายเป็นแผน VLAN หรือซับเน็ตของคุณ หากสวิตช์และอุปกรณ์ Wi-Fi ของคุณไม่รองรับ VLAN คุณยังทำแบบเดียวกันได้ด้วยการกำหนดเส้นทางตามที่อยู่ของแต่ละเครื่อง

ตัวอย่างจริง ครอบครัวของคุณสมชาย

สมมติครอบครัวสี่คนอยู่คอนโด คุณสมชายทำงานที่บ้านสัปดาห์ละสองวัน น้องนิดเรียนมหาวิทยาลัย เด็ก ๆ ใช้แท็บเล็ต และมีทีวีในห้องนั่งเล่นกับปลั๊กอัจฉริยะอีกสองสามตัว

• โน้ตบุ๊กทำงานของคุณสมชายเชื่อมต่อผ่านระบบเข้าถึงระยะไกลของบริษัทเอง จึงอยู่ในเครือข่าย "ไว้ใจ" และไฟร์วอลล์ไม่ยุ่งกับมัน
• ทีวี แท็บเล็ตสองเครื่อง และโน้ตบุ๊กของน้องนิดอยู่ใน Wi-Fi "ผ่านอุโมงค์" ทุกอย่างที่นั่นออกทาง VPN
• ปลั๊กอัจฉริยะและกริ่งประตูอยู่ในเครือข่าย "อุปกรณ์สมาร์ท" ใช้การเชื่อมต่อปกติ และเข้าถึงเครือข่ายอื่นไม่ได้
• แขกต่อ Wi-Fi "แขก" ซึ่งแยกขาดและไม่ผ่าน VPN

สี่เครือข่าย อุโมงค์เส้นเดียว กฎที่สำคัญสามข้อ ไม่มีใครต้องติดตั้งหรือจำอะไรบนแท็บเล็ต และถ้าวันหนึ่งครอบครัวไม่ต้องการ VPN แล้ว ก็ลบกฎข้อเดียว นี่คือจุดแข็งที่แท้จริงของการทำบน OPNsense

ขนาดฮาร์ดแวร์และซอฟต์แวร์สำหรับบ้าน

VPN เพิ่มงานเข้ารหัส สำหรับอินเทอร์เน็ตบ้านระดับปานกลาง กล่องเล็กรุ่นใหม่ที่ CPU รองรับคำสั่ง AES มักรับได้สบาย แต่ถ้าเป็นไฟเบอร์ความเร็วสูงและส่งหลายเครื่องผ่านอุโมงค์ ประสิทธิภาพของโปรเซสเซอร์จะมีผล ให้ทดสอบด้วยการวัดความเร็วพร้อมดูภาระ CPU หากแกนหนึ่งเต็มระหว่างดาวน์โหลด นั่นคือเพดานของคุณ

ดูแลตัวระบบให้แข็งแรงด้วย

• ใช้รุ่นที่เสถียรและยังได้รับการสนับสนุน และอ่านบันทึกก่อนอัปเกรดรุ่นใหญ่
• ให้กล่องมีแหล่งจ่ายไฟของตัวเอง ติดป้ายกำกับ และถ้าเป็นไปได้ใช้ UPS ขนาดเล็ก เพื่อให้ไฟตกชั่วขณะไม่ทำให้คอนฟิกเสียหาย
• เก็บสำเนาคอนฟิกสำรองอย่างน้อยสองชุด ชุดหนึ่งในคอมพิวเตอร์ อีกชุดไว้ที่อื่น

สร้างอุโมงค์ตามลำดับ

ขั้นตอนบน OPNsense เป็นตรรกะเดียวกับไฟร์วอลล์อื่น คือ ข้อมูลยืนยันตัวตน อุโมงค์ interface gateway NAT และกฎ บริการ VPN ของคุณเป็นตัวกำหนดว่าสร้างอุโมงค์แบบไหนได้ จึงควรอ่านคำแนะนำของบริการก่อน สำหรับแพ็ก XPASS หน้า My Pass แสดงวิธีเชื่อมต่อที่รองรับและคำแนะนำการตั้งค่า อย่าสันนิษฐานเองว่าใช้โปรโตคอลใด

1. เตรียมข้อมูลอุโมงค์ ดาวน์โหลดไฟล์ตั้งค่า ใบรับรอง หรือคีย์จากผู้ให้บริการ เก็บอย่างปลอดภัย และไม่แก้ค่าคีย์
2. เพิ่มไคลเอนต์ ในส่วน VPN สร้างรายการไคลเอนต์ตามชนิดอุโมงค์ที่บริการให้ ใส่ที่อยู่เซิร์ฟเวอร์ พอร์ต และข้อมูลยืนยันตัวตนตามที่ให้มาทุกตัวอักษร หากไม่แน่ใจเรื่องเทคโนโลยี WireGuard เทียบ OpenVPN อธิบายตระกูลที่พบบ่อยด้วยภาษาง่าย ๆ
3. กำหนด interface ที่ Interfaces แล้วเลือก Assignments เพิ่มอุปกรณ์อุโมงค์ใหม่ เปิดใช้งาน และตั้งชื่อชัดเจน เช่น "VPN_OUT" ปล่อยการกำหนดที่อยู่เป็น "None" เว้นแต่ผู้ให้บริการให้ที่อยู่อุโมงค์มา
4. สร้าง gateway เพิ่ม gateway ให้ interface นั้นและตั้งที่อยู่ monitor ที่ตอบกลับผ่านอุโมงค์ได้ อย่าตั้งเป็น default gateway เพราะอินเทอร์เน็ตปกติต้องยังเป็นค่าเริ่มต้น
5. เปลี่ยน Outbound NAT เป็น Hybrid และเพิ่มกฎแปลงที่อยู่ของเครือข่ายผ่านอุโมงค์เมื่อออกทาง VPN_OUT เครือข่ายในบ้านใช้ ช่วงที่อยู่ส่วนตัว ซึ่งเครือข่ายของ VPN ตอบกลับไม่ได้หากไม่แปลง
6. เพิ่มกฎไฟร์วอลล์ บน interface ของเครือข่ายผ่านอุโมงค์ ให้อนุญาตทราฟฟิกและกำหนด gateway เป็นของ VPN วางกฎอีกข้อไว้เหนือมัน เพื่อให้เครือข่ายนั้นเข้าถึงทรัพยากรในบ้านที่คุณต้องการเก็บไว้ (เช่น เครื่องพิมพ์ในเครือข่ายไว้ใจ) หากคุณเลือกอนุญาต

ถ้าใช้ VLAN ขั้นตอนที่ 5 และ 6 ทำครั้งเดียวสำหรับ VLAN "ผ่านอุโมงค์" ถ้าส่งตามที่อยู่ ให้สร้าง alias ที่รวมที่อยู่ที่เลือก จองที่อยู่เหล่านั้นด้วย DHCP แบบคงที่ แล้วใช้ alias เป็นต้นทางของกฎ แนวคิดเบื้องหลังอ่านได้ที่ split tunneling คืออะไร

การตัดสินใจเรื่อง DNS ในครัวเรือน

DNS ควรคิดแยกต่างหากในบ้าน เพราะครอบครัวมีอุปกรณ์หลายชนิดที่เลือกเองว่าจะส่งคำถามไปที่ไหน

• เครือข่ายผ่านอุโมงค์ แจก DNS ที่เข้าถึงได้ผ่านอุโมงค์ และเพิ่มกฎไม่ให้อุปกรณ์ในเครือข่ายนั้นใช้ resolver อื่น มิฉะนั้นการค้นหาชื่ออาจยังวิ่งผ่านผู้ให้บริการอินเทอร์เน็ตบ้านคุณ
• เครือข่ายไว้ใจและอุปกรณ์สมาร์ท ปล่อยให้ใช้ resolver ปกติ อุปกรณ์สมาร์ทโฮมโดยเฉพาะอาจเลิกทำงานถ้าย้าย DNS
• ชื่อในบ้าน หากคุณพึ่งชื่ออย่าง "nas.home" สำหรับเครื่องในบ้าน ต้องแน่ใจว่า resolver ที่อุปกรณ์ผ่านอุโมงค์ใช้ยังตอบชื่อเหล่านั้นได้ ไม่เช่นนั้นชื่อจะใช้ไม่ได้ บทความเรื่อง split DNS อธิบายว่าทำไมจึงเกิดขึ้น
• อุปกรณ์ที่มี DNS เข้ารหัสในตัว ทีวีและเบราว์เซอร์บางตัวไม่สนใจ DNS ที่เครือข่ายแจก ควรทดสอบอุปกรณ์แต่ละชนิดสักครั้ง

วิธีตรวจง่าย ๆ คือเปิดการทดสอบ DNS leak จากอุปกรณ์ในเครือข่ายผ่านอุโมงค์ แล้วดูว่า resolver ที่ปรากฏเป็นตัวที่คุณเลือก

ทำให้ระบบเสถียรในระยะยาว

ไฟร์วอลล์ในบ้านไม่ใช่เครื่องที่ตั้งแล้วลืมได้ นิสัยเหล่านี้ช่วยให้ไว้ใจได้

1. สำรองข้อมูลทุกครั้งที่แก้ไขแล้วใช้ได้ ส่งออกคอนฟิกและตั้งชื่อไฟล์ตามวันที่
2. อัปเดตตามกำหนด เลือกเย็นวันสงบสัปดาห์หนึ่งของแต่ละเดือนเพื่อตรวจอัปเดต โดยสำรองก่อนเสมอ
3. รู้แผนสำรอง ถ้าอุโมงค์ล่ม เครือข่ายผ่านอุโมงค์ควรทำอย่างไร จะให้ตัดอินเทอร์เน็ตจนกว่าอุโมงค์กลับมา (fail closed) หรือให้ใช้การเชื่อมต่อปกติ สำหรับคนที่ใส่ใจความเป็นส่วนตัว fail closed ปลอดภัยกว่า แต่ต้องบอกคนในบ้านว่าทำไมทีวีดูไม่ได้ อ่านแนวคิดได้ที่ kill switch ของ VPN คืออะไร
4. ทดสอบหลังไฟดับ ลองรีบูตกล่องโดยตั้งใจสักครั้ง และดูว่าอุโมงค์กลับมาเอง
5. จดผังไว้ บันทึกหนึ่งหน้าที่ระบุเครือข่าย หมายเลข VLAN ที่อยู่ และหน้าที่ของแต่ละกฎ ช่วยให้คุณหรือญาติที่มาช่วยหาปัญหาเจอแม้ผ่านไปหลายเดือน

ทดสอบการตั้งค่าในบ้านที่เสร็จแล้ว

ลองเดินตามรายการนี้โดยใช้มือถือหนึ่งเครื่องต่อแต่ละเครือข่าย

1. บนเครือข่ายผ่านอุโมงค์ การเช็ก IP สาธารณะแสดงที่อยู่ของ VPN
2. บนเครือข่ายไว้ใจและอุปกรณ์สมาร์ท แสดงที่อยู่ของบ้านคุณ
3. การทดสอบ DNS leak บนเครือข่ายผ่านอุโมงค์แสดง resolver ที่ตั้งใจ
4. ดาวน์โหลดไฟล์ใหญ่บนอุปกรณ์ผ่านอุโมงค์ได้โดยไม่ค้าง ถ้าค้างทั้งที่หน้าเล็กโหลดได้ ให้ลด MTU ของอุโมงค์หรือเปิด MSS clamping
5. การพิมพ์จากเครือข่ายที่อนุญาตยังทำงานได้
6. ปิดอุโมงค์โดยตั้งใจแล้วดูว่าเครือข่ายผ่านอุโมงค์ตัดการเชื่อมต่อหรือถอยไปใช้เส้นปกติ ตามที่คุณเลือก
7. รีสตาร์ทไฟร์วอลล์และดูอุโมงค์กลับมา

เมื่อเกิดปัญหา

อาการ	สิ่งแรกที่ควรตรวจ
อุโมงค์เชื่อมต่อแต่เครื่องที่ผ่านอุโมงค์ไม่มีเน็ต	Outbound NAT ของเครือข่ายนั้นบน interface ของ VPN
gateway ขึ้น pending ตลอด	ที่อยู่ monitor และสถานะการจับมือของอุโมงค์
ทั้งบ้านช้า	ตรวจว่า default gateway ถูกเปลี่ยนโดยไม่ตั้งใจหรือไม่
แอปบนทีวีเล่นไม่ได้	บริการนั้นอาจไม่ชอบ VPN ย้ายทีวีไปเครือข่ายปกติ
สั่งปลั๊กอัจฉริยะจากมือถือไม่ได้	ปลั๊กอยู่ในเครือข่ายผ่านอุโมงค์ ย้ายไปเครือข่ายอุปกรณ์สมาร์ท
ใช้ได้วันเดียวแล้วหยุด	keepalive ของอุโมงค์หรือข้อจำกัดเซสชันฝั่งผู้ให้บริการ ดูคำแนะนำของผู้ให้บริการ
ช้าเฉพาะช่วงกลางคืน	เส้นทางคับคั่ง ลองเปลี่ยนปลายทางในรายการของแอป VPN

หากปัญหายังอยู่ การปรับปรุงความเสถียรของการเชื่อมต่อ VPN รวมขั้นตอนที่ใช้ได้กับทุกอุปกรณ์หรือเราเตอร์

ข้อจำกัดที่ควรรู้

อุโมงค์ที่ไฟร์วอลล์ปกป้องทราฟฟิกระหว่างบ้านของคุณกับเซิร์ฟเวอร์ VPN เท่านั้น มันไม่ป้องกันฟิชชิง รหัสผ่านอ่อน หรือมัลแวร์บนอุปกรณ์ ไม่เปลี่ยนสิ่งที่เว็บไซต์และแอปรู้เกี่ยวกับคุณผ่านบัญชีและคุกกี้ ไม่ทำให้ใครนิรนาม และไม่เหนือกว่ากฎของบริการเกี่ยวกับการใช้ VPN อุปกรณ์ที่พกออกนอกบ้านไม่ได้ประโยชน์อะไรจากอุโมงค์ที่บ้าน จึงควรลงแอปบนโน้ตบุ๊กหรือมือถือที่พกไปด้วย แอป VPNclient ที่ลูกค้า XPASS ใช้อธิบายไว้ที่ หน้าดาวน์โหลด และเข้าสู่ระบบด้วยชื่อผู้ใช้และรหัสผ่านบนหน้า My Pass

มีหมายเหตุเรื่องเครือข่ายสองข้อที่ทำให้มือใหม่สับสน ถ้าผู้ให้บริการอินเทอร์เน็ตให้ลูกค้าจำนวนมากอยู่หลังที่อยู่ร่วมระดับผู้ให้บริการ โดยใช้ที่อยู่ใน ช่วงที่ใช้ร่วมกันตาม RFC 6598 คุณจะรับการเชื่อมต่อขาเข้าที่บ้านได้ยาก เรื่องนี้กระทบบทบาทเซิร์ฟเวอร์ ไม่ใช่อุโมงค์ฝั่งไคลเอนต์แบบที่อธิบายในบทความนี้ และถ้า ISP ให้ IPv6 ให้ตรวจว่าเครือข่ายผ่านอุโมงค์ไม่ได้ใช้มันนอกอุโมงค์อย่างเงียบ ๆ ให้ส่ง IPv6 ผ่านอุโมงค์ด้วย หรือปิดบนเครือข่ายนั้น

สรุป

การตั้ง VPN บน OPNsense ที่ดีเริ่มจากแผนที่ของครัวเรือน คือเครื่องไหนผ่านอุโมงค์ เครื่องไหนใช้เส้นปกติ และเครื่องไหนอยู่ในบ้านเท่านั้น สร้างอุโมงค์ตามลำดับ (ข้อมูลยืนยันตัวตน ไคลเอนต์ interface gateway NAT กฎ) จัดการ DNS และ IPv6 อย่างตั้งใจ ตัดสินใจว่าเครือข่ายควรทำอย่างไรเมื่ออุโมงค์ล่ม และสำรองสิ่งที่ใช้ได้ไว้ ทดสอบจากทุกเครือข่าย และคงแอปไว้บนอุปกรณ์ที่พกออกนอกบ้าน

หากอยากเทียบตัวเลือกแพ็กแบบง่ายกับโครงการไฟร์วอลล์ หน้าราคา พร้อมให้ดูตามสะดวก