วิธีตั้ง VPN บน pfSense

pfSense คือซอฟต์แวร์ไฟร์วอลล์และเราเตอร์ที่เปิดให้ใช้ฟรี คนมักติดตั้งลงในพีซีเครื่องเล็กหรืออุปกรณ์เฉพาะเพื่อดูแลเครือข่ายในบ้านหรือออฟฟิศขนาดเล็ก เพราะมันอยู่ระหว่างอุปกรณ์ทั้งหมดกับอินเทอร์เน็ต จึงเป็นจุดที่เหมาะจะวาง VPN ไว้ด้วย แทนที่จะลงแอปในมือถือ ทีวี และโน้ตบุ๊กทีละเครื่อง คุณให้ไฟร์วอลล์เปิดอุโมงค์เข้ารหัสไว้หนึ่งเส้น แล้วเลือกให้ทราฟฟิกบางส่วนวิ่งผ่านอุโมงค์นั้น นี่คือแนวคิดของการใช้ VPN บน pfSense

บทความนี้เน้นฝั่งไคลเอนต์ คือให้ pfSense เชื่อมต่อออกไปยังบริการ VPN เราจะอธิบายว่าต้องเตรียมอะไร interface, NAT, gateway และกฎไฟร์วอลล์ประกอบกันอย่างไร วิธีให้เฉพาะบางอุปกรณ์ผ่านอุโมงค์ การจัดการ DNS และการทดสอบผล เราไม่ให้คอนฟิกสำเร็จรูปให้คัดลอก เพราะชื่อเมนูเปลี่ยนไปตามเวอร์ชัน และวิธีเชื่อมต่อที่ทำได้ขึ้นกับบริการ VPN ของคุณ หากยังไม่แน่ใจว่าควรใช้ไฟร์วอลล์หรือแอป ให้อ่าน VPN บนเราเตอร์ เทียบกับแอป VPN ก่อน

การใช้ VPN บน pfSense หมายความว่าอย่างไร

pfSense ทำงานกับ VPN ได้สองบทบาทที่ต่างกันมาก และการสับสนสองบทบาทนี้คือต้นเหตุของความงงของมือใหม่ส่วนใหญ่

• บทบาทเซิร์ฟเวอร์ คุณตั้ง VPN ไว้บนไฟร์วอลล์ของตัวเองเพื่อเข้ามาใช้เครือข่ายที่บ้านจากข้างนอก มือถือของคุณเป็นฝ่ายโทรเข้ามาหา pfSense
• บทบาทไคลเอนต์ pfSense เป็นฝ่ายโทรออกไปหาบริการ VPN จากนั้นอุปกรณ์ที่อยู่หลังมันสามารถใช้อุโมงค์นี้สำหรับทราฟฟิกอินเทอร์เน็ตได้

บทความนี้พูดถึงบทบาทไคลเอนต์ เมื่อใช้บทบาทนี้ pfSense จะสร้างอินเทอร์เฟซเสมือนสำหรับอุโมงค์ และสร้าง gateway ที่แทนปลายทางของอุโมงค์ ส่วนอินเทอร์เน็ตปกติของคุณ (WAN) ยังทำงานอยู่ข้างกัน กฎแต่ละข้อบน LAN จะเป็นตัวตัดสินว่าทราฟฟิกของเครื่องไหนใช้ gateway ใด จะเป็น WAN ตามปกติหรือ gateway ของ VPN

จุดสำคัญคือ pfSense ไม่มีสวิตช์เดียวที่ "เปิด VPN ให้ทั้งเครือข่าย" คุณเป็นคนตัดสินใจเองทีละกฎว่าใครเข้าอุโมงค์ ซึ่งให้ความละเอียดที่แอปบนมือถือทำไม่ได้ และเป็นเหตุผลที่การตั้งค่าครั้งแรกมักใช้เวลาครึ่งวัน

สิ่งที่ต้องเตรียมก่อนเปิดหน้าเว็บตั้งค่า

ใช้เวลาสิบนาทีรวบรวมข้อมูลก่อน จะช่วยไม่ให้ระบบค้างอยู่ในสถานะตั้งค่าไม่ครบซึ่งแก้ยาก

1. ฮาร์ดแวร์ที่ไหว การเข้ารหัสใช้ CPU เครื่องเล็กที่ใช้โปรเซสเซอร์รุ่นใหม่ซึ่งรองรับ AES แบบฮาร์ดแวร์มักรับอินเทอร์เน็ตบ้านได้สบาย แต่เครื่องเก่ามากหรือกินไฟต่ำอาจกลายเป็นคอขวด ให้ดูภาระ CPU ขณะทดสอบความเร็ว
2. ซอฟต์แวร์เวอร์ชันปัจจุบัน อัปเดต pfSense เป็นรุ่นเสถียรก่อนเริ่ม เพราะคู่มือเก่ามักแสดงเมนูที่ย้ายที่ไปแล้ว
3. ข้อมูลเชื่อมต่อจากบริการ VPN ต้องรู้ว่าบริการของคุณอนุญาตวิธีเชื่อมต่อแบบใดบนเราเตอร์ สำหรับ XPASS หน้า My Pass จะแสดงวิธีเชื่อมต่อที่รองรับพร้อมคำแนะนำการตั้งค่า ให้อ่านจากหน้านั้นแทนการเดา หากวิธีนั้นต้องใช้ใบรับรอง คีย์ หรือไฟล์ตั้งค่า ให้ดาวน์โหลดแล้วเก็บไว้ในที่ปลอดภัย
4. ภาพรวมของเครือข่าย LAN จดช่วงเครือข่าย LAN ว่าเครื่องไหนใช้ IP คงที่ และ DHCP แจกช่วงใด เครือข่ายบ้านมักใช้ ช่วงที่อยู่ส่วนตัวตาม RFC 1918 เช่น 192.168.x.x หากเครือข่ายปลายทางของ VPN บังเอิญใช้ช่วงเดียวกับ LAN ของคุณ การส่งต่อจะพังแบบหาสาเหตุยาก จึงควรเช็กให้ชัดตั้งแต่ต้น
5. ทางถอย จดค่าปัจจุบันหรือสำรองคอนฟิก (ที่เมนู Diagnostics แล้วเลือก Backup and Restore ในหลายเวอร์ชัน) หากตั้งผิดจนเข้าหน้าตั้งค่าไม่ได้ จะกู้คืนได้
6. ช่วงเวลาที่เหมาะ ทำตอนที่ไม่มีใครประชุมวิดีโออยู่ การเพิ่มอินเทอร์เฟซและกฎอาจทำให้การเชื่อมต่อหลุดสั้น ๆ

หากต้องการอุโมงค์เดียวที่ครอบคลุมทุกเครื่องในบ้าน ไฟร์วอลล์เป็นที่ที่เหมาะ แต่ถ้าต้องการปกป้องแค่โน้ตบุ๊กกับมือถือสองสามเครื่อง การใช้แอปง่ายกว่า คู่มือ ตั้งค่า VPN บนเราเตอร์ อธิบายเส้นทางที่เบากว่าไว้

ห้าขั้นตอนหลัก เรียงตามลำดับ

ไม่ว่าบริการของคุณจะใช้วิธีใด การตั้งค่าบน pfSense ก็เรียงตามลำดับเดียวกัน เมื่อจำลำดับได้ จะหาเมนูได้ง่ายขึ้นมาก

1. นำเข้าข้อมูลยืนยันตัวตน

ที่ตัวจัดการใบรับรอง (Certificate Manager) คุณเพิ่ม CA และใบรับรองฝั่งไคลเอนต์ หากวิธีเชื่อมต่อของคุณต้องใช้ ส่วนวิธีที่ใช้คีย์ ให้วางคีย์ลงในหน้าตั้งค่าอุโมงค์ ใช้ค่าตามที่ผู้ให้บริการให้เป๊ะ ๆ และไม่ควรแก้ไข ตัวอักษรผิดเพียงตัวเดียวในคีย์เป็นสาเหตุคลาสสิกของอาการ "อุโมงค์ไม่ขึ้นสักที"

2. สร้างอุโมงค์

ที่เมนู VPN เพิ่มรายการไคลเอนต์พร้อมที่อยู่เซิร์ฟเวอร์ พอร์ต ข้อมูลยืนยันตัวตน และค่าเข้ารหัสที่ผู้ให้บริการกำหนด มีข้อสังเกตสองข้อ

• ตั้งชื่อรายการให้สื่อความหมาย เช่น "VPN-out" เพราะภายหลังคุณต้องเลือกระหว่างหลาย interface และ gateway ชื่อคลุมเครือทำให้เลือกผิดง่าย
• อย่าติ๊กตัวเลือกที่ดึง route อัตโนมัติ หากไม่ต้องการให้ไฟร์วอลล์ทั้งตัววิ่งผ่านอุโมงค์ ถ้าจะส่งเฉพาะบางเครื่อง คุณต้องการให้อุโมงค์ขึ้นโดยไม่ไปแย่ง default route

หากยังไม่แน่ใจว่าควรเลือกตระกูลอุโมงค์แบบไหน บทความ WireGuard เทียบ OpenVPN อธิบายข้อดีข้อเสียด้วยภาษาง่าย ๆ ให้ใช้ค่าที่ผู้ให้บริการแนะนำ เว้นแต่ฝ่ายสนับสนุนบอกเป็นอย่างอื่น

3. กำหนด interface

เมื่ออุโมงค์เริ่มทำงาน มันมีอยู่แล้วก็จริง แต่ไฟร์วอลล์ยังไม่ได้ใส่ชื่อในรายการ interface ไปที่ Interfaces แล้วเลือก Assignments เพิ่มอุโมงค์ใหม่เป็น interface เปิดใช้งาน และใส่คำอธิบายที่ชัดเจน ปล่อยค่า IP เป็น "None" เว้นแต่ผู้ให้บริการระบุที่อยู่ของอุโมงค์ให้ชัดเจน ขั้นตอนนี้เองที่ทำให้นำอุโมงค์ไปใช้ในกฎและ NAT ได้

4. ตรวจ gateway

ที่ System แล้วเลือก Routing ควรมี gateway ของ interface ใหม่ปรากฏขึ้น ตรวจให้แน่ใจว่าสถานะเป็นออนไลน์ และที่อยู่ที่ใช้ monitor เป็นปลายทางที่เข้าถึงได้ผ่านอุโมงค์ หากที่อยู่ monitor เข้าไม่ถึง pfSense จะแสดงว่า gateway ล่ม ทั้งที่ข้อมูลวิ่งได้ และกฎของคุณจะไม่ยอมใช้ gateway นั้น อย่าตั้ง gateway นี้เป็น default gateway เว้นแต่ต้องการให้ทุกเครื่อง รวมถึงการอัปเดตของตัวไฟร์วอลล์เอง ใช้อุโมงค์

5. เพิ่ม Outbound NAT

LAN ของคุณใช้ที่อยู่ส่วนตัว ซึ่งเครือข่ายของ VPN ไม่รู้จักทางส่งกลับ ทราฟฟิกที่ออกทางอุโมงค์จึงต้องถูกแปลงเป็นที่อยู่ของอุโมงค์ ให้เปลี่ยนโหมด Outbound NAT เป็นแบบ Hybrid (หรือ Manual หากอยากเขียนเองทุกกฎ) แล้วเพิ่มกฎแปลงที่อยู่ของเครือข่าย LAN เมื่อออกทาง interface ใหม่ หากไม่มีกฎนี้ อุโมงค์จะขึ้นว่าเชื่อมต่อแล้ว แต่อุปกรณ์ไม่มีอินเทอร์เน็ต นี่คือความผิดพลาดที่พบบ่อยที่สุดในโครงการนี้

ส่งเฉพาะอุปกรณ์ที่คุณเลือก

ถึงตรงนี้ถึงเวลาตัดสินว่าใครใช้อุโมงค์ เครื่องมือคือ policy-based routing คือกฎไฟร์วอลล์บน interface ของ LAN ที่ในส่วนตั้งค่าขั้นสูงระบุ gateway เป็นของ VPN

วิธีทำที่เป็นระเบียบ

1. กำหนดที่อยู่คงที่ให้อุปกรณ์ที่เลือก ในตั้งค่า DHCP ให้จองที่อยู่ให้แต่ละเครื่องที่ต้องการให้เข้าอุโมงค์ เช่น กล่อง Streaming โน้ตบุ๊กทำงาน และแท็บเล็ต
2. สร้าง alias ที่ Firewall แล้วเลือก Aliases สร้าง alias ชนิด Host ที่รวมที่อยู่เหล่านั้น ตั้งชื่อประมาณ "VPN_CLIENTS"
3. เพิ่มกฎบน LAN สร้างกฎแบบ pass โดยตั้งต้นทางเป็น alias นั้น ในส่วนขั้นสูงให้ตั้ง gateway เป็น gateway ของ VPN
4. ระวังลำดับของกฎ กฎถูกประเมินจากบนลงล่าง ให้วางข้อยกเว้นสำหรับเครือข่ายภายในไว้เหนือกฎ VPN เพื่อให้เครื่องพิมพ์ ที่แชร์ไฟล์ และหน้าตั้งค่าของเราเตอร์ยังเข้าถึงได้โดยไม่ผ่านอุโมงค์ กฎ pass สั้น ๆ ที่มีปลายทางเป็นเครือข่าย LAN เองและวางไว้บนสุดก็ทำได้
5. ปล่อยส่วนที่เหลือไว้ อุปกรณ์ที่ไม่อยู่ใน alias จะตรงกับกฎ "allow LAN to any" ปกติ และใช้ WAN

วิธีนี้เทียบได้กับ split tunneling ในระดับอุปกรณ์แทนที่จะเป็นระดับแอป เหมาะกับครอบครัวที่อยากให้ทีวีห้องรับแขกอยู่หลัง VPN ขณะที่เครื่องในห้องทำงานใช้การเชื่อมต่อปกติ

เป้าหมาย	วิธีทำบน pfSense
ทั้งบ้านผ่าน VPN	กฎ LAN เดียวสำหรับทั้งซับเน็ต พร้อมระบุ gateway ของ VPN
เฉพาะอุปกรณ์ที่เลือก	alias ของที่อยู่คงที่ แล้วทำกฎที่ระบุ gateway ของ VPN
เฉพาะ VLAN หรือ Wi-Fi เครือข่ายหนึ่ง	กฎบน interface ของ VLAN นั้นพร้อม gateway ของ VPN
เฉพาะบางปลายทาง	alias ของที่อยู่ปลายทาง แล้วทำกฎที่ระบุ gateway ของ VPN
ยังไม่ใช้ แต่เตรียมอุโมงค์ไว้	เปิด interface ค้างไว้และไม่เพิ่มกฎ

การแยก VLAN หรือ Wi-Fi แขกสำหรับ "อุปกรณ์ที่ใช้ VPN" มักเป็นการออกแบบที่เรียบร้อยที่สุด เพราะกฎเดียวครอบคลุมทุกเครื่องที่เข้าเครือข่ายนั้น โดยไม่ต้องตามจดที่อยู่รายเครื่อง

DNS ส่วนที่คนมักลืม

ถ้าอุปกรณ์ส่งคำถาม DNS ไปที่ ISP ทั้งที่ข้อมูลหลักวิ่งผ่านอุโมงค์ เว็บไซต์ที่คุณค้นหาก็จะเปิดเผยนอกอุโมงค์ นี่คือแนวคิดเดียวกับ DNS leak และไฟร์วอลล์ก็รั่วได้ง่ายพอ ๆ กับโน้ตบุ๊ก

ทางเลือกที่ใช้ได้จริง

• ใช้ DNS ที่ผู้ให้บริการให้มา สำหรับอุปกรณ์ที่ส่งผ่าน VPN และทำให้กฎของทราฟฟิก DNS ใช้ gateway ของ VPN เดียวกัน หาก DNS Resolver บน pfSense ส่งต่อคำถาม ให้ตั้ง outgoing interface เป็นอุโมงค์สำหรับกลุ่มนี้ หรือแจก DNS ของผู้ให้บริการผ่าน DHCP เฉพาะกลุ่ม VPN
• บล็อก DNS ที่หลุด เพิ่มกฎบล็อกพอร์ต 53 ขาออก (และ 853 สำหรับ DNS แบบเข้ารหัส) จากกลุ่ม VPN ไปทุกที่ ยกเว้น resolver ที่เลือก เพื่อไม่ให้อุปกรณ์ถอยไปใช้ค่าของตัวเอง
• ระวังอุปกรณ์ที่มี DNS ในตัว ทีวีและเบราว์เซอร์บางตัวใช้ DNS เข้ารหัสของตัวเองและไม่สนค่าที่ DHCP แจก ให้ทดสอบทีละเครื่อง ไม่ใช่แค่ที่ไฟร์วอลล์

หลังตั้งค่าเสร็จ ให้ลองทดสอบ leak จากอุปกรณ์กลุ่ม VPN หาก resolver ที่ปรากฏเป็นของ ISP ที่บ้าน แสดงว่ากฎ DNS ของคุณยังต้องแก้

สร้าง kill switch ด้วยกฎไฟร์วอลล์

เมื่อ VPN บนมือถือหลุด แอปสามารถบล็อกทราฟฟิกให้ได้ แต่บน pfSense คุณต้องสร้างการป้องกันแบบเดียวกันเอง กลไกคือพฤติกรรมเมื่อ gateway ล่มของกฎ policy

• ตามค่าเริ่มต้น pfSense อาจข้ามกฎที่ gateway ล่มแล้วปล่อยทราฟฟิกตกไปที่กฎถัดไป ซึ่งก็คือ WAN นั่นหมายความว่าอุปกรณ์ของคุณหลุดออกนอกอุโมงค์โดยไม่มีใครรู้
• ให้ตั้งตัวเลือกระบบที่ไม่ให้ทราฟฟิกออกทาง WAN เมื่อ gateway ของ policy ใช้งานไม่ได้ หรือเพิ่มกฎ block ที่ชัดเจนไว้ต่อจากกฎ VPN โดยจับกลุ่ม VPN
• ทดสอบจริง ปิดอุโมงค์โดยตั้งใจ แล้วตรวจว่ากลุ่ม VPN ไม่มีอินเทอร์เน็ตเลย จากนั้นเปิดอุโมงค์กลับ kill switch ที่ไม่เคยทดสอบก็เป็นแค่ความหวัง ไม่ใช่การป้องกัน ดูพื้นฐานได้ที่ kill switch ของ VPN คืออะไร

อุปกรณ์ที่ต้องออนไลน์ตลอดแม้อุโมงค์ล่ม เช่น กริ่งประตูอัจฉริยะ ให้เก็บไว้นอก alias ของ VPN

MTU ความเร็ว และการปรับแต่ง

อุโมงค์เพิ่มส่วนหัวเข้าไปในทุกแพ็กเก็ต ทำให้แพ็กเก็ตขนาดเต็มอาจใส่ไม่พอดี เมื่อค่า MTU ไม่เหมาะ จะเกิดอาการแปลก ๆ เช่น หน้าเล็ก ๆ โหลดได้ แต่หน้าใหญ่ค้าง การอัปโหลดหยุด กลไก Path MTU Discovery ออกแบบมาจัดการเรื่องนี้ แต่ถ้า ICMP ถูกกรองก็อาจใช้ไม่ได้

ลองทีละอย่างตามลำดับนี้

1. ลดค่า MTU ของอุโมงค์ลงประมาณ 40 ถึง 80 ไบต์จากค่าเริ่มต้นของ interface หรือเปิด MSS clamping บน interface ของ VPN
2. ทดสอบใหม่ด้วยการดาวน์โหลดไฟล์ใหญ่ ไม่ใช่แค่เปิดหน้าเว็บ
3. เปลี่ยนค่าเพียงอย่างเดียวระหว่างการทดสอบ จะได้รู้ว่าอะไรช่วยได้

หากความเร็วต่ำ ให้จำไว้ว่าการเข้ารหัสคือภาระ CPU และอุโมงค์หนึ่งเส้นมักถูกจำกัดด้วยแกนประมวลผลเพียงแกนเดียว เปรียบเทียบผลทดสอบความเร็วตอนปิดและเปิดอุโมงค์ และอ่าน ทำไมความเร็วอินเทอร์เน็ตเปลี่ยนเมื่อใช้ VPN ก่อนโทษไฟร์วอลล์

ทดสอบการตั้งค่าที่เสร็จแล้ว

ใช้รายการตรวจเดียวกันทุกครั้งที่แก้ไขอะไร

1. สถานะ gateway ของ VPN เป็นออนไลน์
2. จากอุปกรณ์ในกลุ่ม VPN การเช็ก IP สาธารณะต้องแสดงที่อยู่ของ VPN ไม่ใช่ของอินเทอร์เน็ตบ้าน
3. จากอุปกรณ์ปกติ ต้องยังแสดงที่อยู่ของบ้านคุณ
4. ทดสอบ DNS แสดง resolver ตามที่ตั้งใจ
5. ทดสอบ kill switch ปิดอุโมงค์ ตรวจว่ากลุ่ม VPN ไม่มีอินเทอร์เน็ต แล้วเปิดกลับ
6. ทดสอบการเข้าถึงในบ้าน เครื่องพิมพ์และที่แชร์ไฟล์ยังใช้ได้จากอุปกรณ์กลุ่ม VPN
7. ทดสอบรีบูต รีสตาร์ท pfSense แล้วตรวจว่าอุโมงค์กลับมาเองได้

จดผลไว้ เมื่อเกิดปัญหาหลายเดือนต่อมา รายการที่บอกว่าสภาพปกติเป็นอย่างไรจะช่วยประหยัดเวลาได้หลายชั่วโมง

ข้อผิดพลาดที่พบบ่อยและวิธีแก้

อาการ	สาเหตุที่น่าจะเป็น	สิ่งที่ควรตรวจ
อุโมงค์เชื่อมต่อแล้วแต่เครื่องไม่มีเน็ต	ไม่มี Outbound NAT	กฎ NAT ของเครือข่าย LAN บน interface ของ VPN
gateway ขึ้นออฟไลน์ทั้งที่อุโมงค์ขึ้น	ที่อยู่ monitor เข้าไม่ถึง	เปลี่ยนหรือปิดที่อยู่ monitor
ทุกอย่างรวมถึงไฟร์วอลล์วิ่งผ่าน VPN	default gateway ถูกเปลี่ยน	ตั้ง WAN เป็น default กลับคืน
หน้าใหญ่ค้าง	MTU หรือ MSS สูงไป	ลด MTU เปิด MSS clamping
ใช้ได้จนรีบูต	ไม่ได้กำหนด interface หรืออุโมงค์ไม่เริ่มเอง	การกำหนด interface และสถานะบริการ
ความเร็วต่ำ	CPU เป็นคอขวดหรือปลายทางไกล	ภาระ CPU ขณะทดสอบ ลองเปลี่ยนปลายทาง
เข้าเครื่องพิมพ์ในบ้านไม่ได้	ลำดับกฎ	ย้ายกฎ pass ปลายทาง LAN ไว้เหนือกฎ VPN
แอปธนาคารหรือ Streaming แจ้งปัญหา	บริการไม่ชอบการเชื่อมต่อ VPN	ย้ายเครื่องนั้นออกจาก alias

อย่าเปิดหน้าตั้งค่าของไฟร์วอลล์ให้เข้าถึงจากอินเทอร์เน็ตระหว่างทดลอง และปกป้องการล็อกอินของเราเตอร์ด้วยรหัสผ่านที่แข็งแรงพร้อมการยืนยันตัวตนสองขั้นตอนหากมี VPN ปกป้องข้อมูลระหว่างทาง แต่แก้ปัญหาไฟร์วอลล์ที่ป้องกันหละหลวมไม่ได้

หากเว็บไซต์บางแห่งไม่ยอมทำงานผ่านอุโมงค์ นั่นเป็นการตัดสินใจของเว็บไซต์ ไม่ใช่ข้อบกพร่องของ pfSense บทความช่วยเหลือเรื่อง เว็บไซต์ใช้ไม่ได้เมื่อเปิด VPN อธิบายสิ่งที่ลองได้ เช่น ย้ายอุปกรณ์นั้นออกจากกลุ่ม VPN

เมื่อ pfSense ไม่ใช่เครื่องมือที่เหมาะ

การสร้างระบบบนไฟร์วอลล์ไม่เหมาะกับทุกคน หากคุณเดินทางบ่อย เราเตอร์ที่บ้านไม่ช่วยอะไรมือถือของคุณที่สนามบิน หากไม่มีใครในบ้านคุ้นกับกฎไฟร์วอลล์ การตั้งค่าผิดอาจทำให้อุปกรณ์ไม่ได้รับการป้องกันโดยไม่มีใครสังเกต และถ้าฮาร์ดแวร์อ่อน VPN อาจเปลี่ยนอินเทอร์เน็ตที่เร็วให้ช้าลง ในกรณีเหล่านี้ให้ใช้แอปบนอุปกรณ์ที่สำคัญ และเก็บไฟร์วอลล์ไว้ทำสิ่งที่มันถนัด

สำหรับ XPASS คุณใช้แอป VPNclient ที่ฟรีบน iPhone, Android, Windows และ macOS ด้วยข้อมูลล็อกอินบนหน้า My Pass และตรวจวิธีเชื่อมต่อที่รองรับที่หน้านั้นก่อนตัดสินใจว่าการตั้งบนเราเตอร์เหมาะกับแพ็กของคุณหรือไม่ หน้าดาวน์โหลด รวมลิงก์แอปทางการไว้แล้ว

สรุป

การใช้ VPN บน pfSense คือการสร้างอุโมงค์ฝั่งไคลเอนต์ กำหนดเป็น interface ตรวจ gateway เพิ่ม Outbound NAT แล้วใช้กฎไฟร์วอลล์ตัดสินว่าอุปกรณ์ใดใช้อุโมงค์ ควรจัดการ DNS อย่างตั้งใจ สร้างและทดสอบ kill switch ปรับ MTU เมื่อหน้าใหญ่ค้าง และทดสอบจากทั้งอุปกรณ์ในกลุ่ม VPN และอุปกรณ์ปกติ อย่าลืมว่าวิธีเชื่อมต่อของบริการ VPN เป็นตัวกำหนดว่าคุณตั้งค่าอะไรได้บ้าง

หากอยากเริ่มจากแพ็กง่าย ๆ และใช้แอปบนอุปกรณ์ คุณดู หน้าราคา ได้ตามสะดวก