วิธีตั้ง VPN บน QNAP NAS

QNAP NAS มักเริ่มต้นเป็นกล่องสำรองข้อมูล แล้วค่อย ๆ กลายเป็นของสำคัญขึ้นเรื่อย ๆ อาจเป็นคลังรูปของครอบครัว ไฟล์เซิร์ฟเวอร์ของออฟฟิศเล็ก คลังสื่อ หรือเครื่องที่รันคอนเทนเนอร์สองสามตัว เมื่อถึงจุดนั้นคำถามก็เปลี่ยนไป จะเข้าถึงจากข้างนอกอย่างไร จะไม่ให้มันคุยกับอินเทอร์เน็ตแบบเปิดเผยได้อย่างไร และ VPN อยู่ตรงไหนของภาพนี้

คู่มือส่วนใหญ่กระโดดไปที่เมนู VPN ทันที แต่บทความนี้เรียงลำดับต่างออกไป เพราะในทางปฏิบัติ VPN เป็นขั้นที่สาม ไม่ใช่ขั้นแรก แผนด้านล่างมีสี่ขั้น เริ่มจากเสริมความแข็งแรงให้เครื่อง เพิ่มโปรไฟล์ client ถ้าตัว NAS ต้องใช้ เพิ่ม server ถ้าต้องการเข้าถึงจากระยะไกล แล้วทดสอบทั้งหมดพร้อมเตรียมทางย้อนกลับ เขียนสำหรับผู้ใช้ตามบ้านและออฟฟิศเล็ก และเรียกเครื่องมือของ QNAP ด้วยชื่อทั่วไป เมนู ชื่อแอป และค่าเริ่มต้นเปลี่ยนไปตามเวอร์ชัน QTS และ QuTS hero จึงควรใช้เป็นแผนที่ แล้วยืนยันรายละเอียดจากวิธีใช้ในเครื่องของคุณ

ทำไมต้องเสริมความแข็งแรงก่อนตั้ง VPN

VPN คือเส้นทางที่ได้รับการป้องกัน แต่ไม่ได้บอกอะไรเลยเกี่ยวกับสิ่งที่รออยู่ที่ปลายทั้งสองข้าง ถ้า NAS ยังใช้บัญชีแอดมินเริ่มต้น เฟิร์มแวร์เก่า หรือเปิดบริการค้างอยู่เป็นโหล การเพิ่ม VPN ก็เท่ากับสร้างเส้นทางเข้ารหัสอย่างดีไปสู่เป้าหมายที่อ่อนแอ

อุปกรณ์เก็บข้อมูลบนเครือข่ายเป็นเป้าประจำของการสแกนอัตโนมัติและแคมเปญแรนซัมแวร์ เพราะเก็บไฟล์มีค่าและมักต่อตรงกับเครือข่ายบ้าน นี่ไม่ใช่เหตุผลที่จะไม่ซื้อ NAS แต่เป็นเหตุผลที่ควรใช้เวลาหนึ่งชั่วโมงกับพื้นฐาน ก่อนจะใช้อีกชั่วโมงกับอุโมงค์

ให้ใช้แบบจำลองง่าย ๆ จาก การสร้างแบบจำลองภัยคุกคามเพื่อความเป็นส่วนตัว ลิสต์ว่าคุณเก็บอะไร ใครอาจต้องการ และเขาเข้าถึงได้อย่างไร สำหรับบ้านส่วนใหญ่ ภัยที่เป็นจริงคือการสแกนอัตโนมัติหาพอร์ตที่เปิด รหัสผ่านที่ถูกขโมย และไฟล์เสียหายจากการซิงก์ที่ไม่ระวัง VPN ช่วยข้อแรก ช่วยข้อสองบางส่วน และไม่ช่วยข้อสามเลย

QNAP มีอะไรให้ใช้ อธิบายแบบเข้าใจง่าย

ส่วนประกอบ	ใช้ทำอะไรโดยทั่วไป	เกี่ยวกับแผน VPN อย่างไร
แอป VPN server และ client (มักเรียก QVPN)	รัน VPN server บน NAS หรือโปรไฟล์ client ที่เชื่อมต่อออก	เครื่องมือหลักทั้งสองทิศทาง
บริการคลาวด์รีเลย์ของผู้ผลิต	เข้า NAS ด้วยชื่อโดยไม่ต้องเปิดพอร์ต	ทางเลือกที่สะดวกแทน port forwarding แต่มีข้อแลกเปลี่ยนเรื่องความไว้ใจของตัวเอง
แอปไฟร์วอลล์	อนุญาตหรือบล็อกทราฟฟิกตามต้นทางและพอร์ต	จำกัดว่าใครเข้าพอร์ต VPN หรือหน้าเว็บได้
แพลตฟอร์มคอนเทนเนอร์	รันแอปในคอนเทนเนอร์แยกกัน	ให้แอปหนึ่งตัวใช้อุโมงค์ของมันเองได้
เครื่องมือตรวจความปลอดภัย	สแกนหาการตั้งค่าที่อ่อน	มีประโยชน์ในขั้นที่หนึ่ง
เครื่องมือสำรองและสแนปช็อต	ป้องกันข้อมูลจากอุบัติเหตุ	ตาข่ายนิรภัยระหว่างที่คุณทดลอง

ชื่อและความพร้อมใช้งานต่างกันตามรุ่นและเฟิร์มแวร์ ก่อนวางแผนอะไร ให้เปิดศูนย์แอปในเครื่องของคุณดูว่ามีอะไรติดตั้งอยู่และมีอะไรให้ติดตั้งเพิ่ม

ขั้นที่ 1 เสริมความแข็งแรงให้เครื่อง

ใช้เวลาตรงนี้ก่อนจะเปิดพอร์ตใด ๆ ขั้นนี้ทำภายในเครื่องทั้งหมดและไม่มีความเสี่ยงที่จะล็อกตัวเองออก

1. อัปเดตเฟิร์มแวร์และแอป ทำจากหน้าอัปเดตของเครื่องเอง อ่านบันทึกการออกรุ่นถ้าคุณพึ่งแอปใดเป็นพิเศษ
2. เปลี่ยนบัญชีเริ่มต้น สร้างผู้ดูแลที่มีชื่อเฉพาะ ตั้งรหัสผ่านยาวและไม่ซ้ำ และปิดหรือเปลี่ยนชื่อบัญชี admin เริ่มต้นเมื่อระบบอนุญาต
3. เปิดการล็อกอินสองขั้นตอน สำหรับบัญชีผู้ดูแล คู่มือของ CISA อธิบายว่าทำไมสำคัญ และบทความ การยืนยันตัวตนสองขั้นตอน พาไล่ตัวเลือก
4. ปิดสิ่งที่ไม่ใช้ ปิดโปรโตคอลไฟล์ที่ไม่ได้ใช้ เครื่องมือรีโมตเดสก์ท็อป บัญชีผู้เยี่ยมชม และบริการใดที่คุณบอกไม่ได้ว่ามีไว้ทำไม
5. ตรวจว่าพอร์ตไหนเข้าถึงได้ ลิสต์สิ่งที่ NAS รับฟังอยู่ แล้วให้แน่ใจว่าเราเตอร์ไม่ได้ forward พอร์ตเหล่านั้นมาที่ NAS นอกจากที่คุณตั้งใจ
6. ทำสแนปช็อตหรือสำรอง ส่งออกคอนฟิกของ NAS และสำหรับแชร์สำคัญ เก็บสำเนาไว้นอก NAS
7. เปิดการแจ้งเตือน เปิดอีเมลหรือแจ้งเตือนผ่านแอปเมื่อล็อกอินล้มเหลวและเมื่อมีอัปเดตเฟิร์มแวร์

เมื่อจบขั้นที่หนึ่ง ให้จดสรุปหนึ่งบรรทัดว่ามีพอร์ตใดเปิดและเพราะอะไร ถ้าคำตอบคือ "ไม่มี โดยตั้งใจ" แสดงว่าคุณอยู่ในจุดที่ดี

ขั้นที่ 2 ตัดสินใจว่า NAS ต้องมี VPN client หรือไม่

ผู้ใช้ NAS บางคนไม่ต้องใช้ขั้นนี้เลย โปรไฟล์ client ทำให้ตัว NAS ส่งทราฟฟิกอินเทอร์เน็ตบางส่วนหรือทั้งหมดผ่านเซิร์ฟเวอร์ VPN ภายนอก มีประโยชน์เมื่อ

• NAS ดาวน์โหลดจากอินเทอร์เน็ตตามเวลาที่ตั้งไว้ และคุณไม่อยากให้ที่อยู่บ้านปรากฏในการเชื่อมต่อเหล่านั้น
• คอนเทนเนอร์ดึงข้อมูลจากหลายเว็บ และอยากให้ใช้เส้นทางแยกต่างหาก
• ใช้ NAS เป็นกล่องเล็กที่เปิดตลอดเวลา และอยากให้ทราฟฟิกขาออกได้รับการปกป้อง

ไม่มีประโยชน์เมื่อ NAS ให้บริการไฟล์แก่อุปกรณ์ของคุณเองในบ้านเท่านั้น เพราะแทบไม่มีทราฟฟิกขาออกให้ปกป้อง

ถ้าต้องการจริง

1. ยืนยันว่าผู้ให้บริการให้อะไรมา QVPN client รับประเภทการเชื่อมต่อเฉพาะบางแบบ ให้เทียบกับตัวเลือกที่ผู้ให้บริการเผยแพร่ สำหรับ XPASS รายละเอียดการตั้งค่าอยู่ในหน้า My Pass และแอป VPNclient ที่ใช้ฟรีจากหน้าดาวน์โหลด เป็นช่องทางที่รองรับสำหรับมือถือและคอมพิวเตอร์ ถ้า NAS ใช้สิ่งที่ผู้ให้บริการเสนอไม่ได้ โปรไฟล์บน NAS ก็ไม่ใช่ทางเลือกสำหรับบริการนั้น
2. สร้างโปรไฟล์ client ด้วยรายละเอียดเซิร์ฟเวอร์ ชื่อผู้ใช้ และรหัสผ่านที่ได้รับ ใช้ค่าเริ่มต้นสำหรับสิ่งที่ยังไม่เข้าใจ
3. เลือกเส้นทางอย่างตั้งใจ ตัดสินว่าทราฟฟิกทั้งหมดของ NAS หรือเฉพาะบางส่วนจะใช้อุโมงค์ ระวังตัวเลือกที่ส่งทุกอย่างเข้าอุโมงค์ เพราะอาจตัดการเข้าถึง NAS จากเครือข่ายภายในของคุณเอง
4. เชื่อมต่อและทดสอบ ตรวจว่า NAS รายงานสถานะเชื่อมต่อ แล้วใช้งานที่แสดงที่อยู่ขาออกเพื่อยืนยันว่าต่างจากที่อยู่บ้าน
5. ทดสอบการเข้าถึงภายใน จากคอมพิวเตอร์และจากมือถือบน Wi-Fi ถ้าอย่างใดอย่างหนึ่งล้มเหลว ให้ย้อนการเปลี่ยนเส้นทาง
6. ทดสอบตอนอุโมงค์หลุด ตัดการเชื่อมต่อโดยตั้งใจ แล้วดูว่างานที่ตั้งเวลาไว้หยุดหรือไปต่อบนการเชื่อมต่อปกติ ตัดสินว่ายอมรับได้กับการใช้งานของคุณหรือไม่

ขั้นที่ 3 เพิ่ม VPN server เพื่อเข้าถึงจากระยะไกล

server บน NAS ให้ทางกลับบ้านที่ปลอดภัยแก่อุปกรณ์ของคุณเอง ดีกว่าการเปิดหน้าเว็บของ NAS ให้เข้าตรง ๆ แต่ก็ยังต้องระมัดระวัง

ก่อนจะเปิดอะไร ยืนยันว่าอินเทอร์เน็ตของคุณให้ IP สาธารณะที่เข้าถึงได้ ถ้าผู้ให้บริการใช้ที่อยู่เดียวร่วมกันหลายราย การ forward จะใช้ไม่ได้และต้องใช้วิธีอื่น เทียบที่อยู่ WAN ของเราเตอร์กับ IP สาธารณะ จะได้คำตอบภายในสองนาที

ขั้นตอน

1. ติดตั้งและเปิดส่วน VPN server เลือกประเภทการเชื่อมต่อ ให้เลือกตัวเลือกสมัยใหม่และเลี่ยงแบบเก่าที่สุด ตามที่คู่มือ IPsec VPN ของ NIST และเอกสารชุมชน OpenVPN พูดถึง
2. สร้างผู้ใช้ VPN โดยเฉพาะ ให้บัญชีเฉพาะคนที่ต้องใช้ และจำกัดสิ่งที่แต่ละคนเข้าถึงได้
3. Forward หนึ่งพอร์ต จากเราเตอร์มายัง NAS ใช้ Port forwarding อธิบาย เพื่อเข้าใจผลที่ตามมา และใช้กฎของเราเตอร์จำกัดต้นทางถ้าทำได้
4. เพิ่มกฎไฟร์วอลล์ ให้เฉพาะพอร์ต VPN ที่เข้าถึงได้จากภายนอก และอนุญาตเฉพาะช่วงที่จำเป็นเมื่อเชื่อมต่อแล้ว
5. ส่งออกโปรไฟล์ client แล้วติดตั้งในโน้ตบุ๊กหรือมือถือ เก็บไฟล์ไว้เป็นความลับ เพราะใครก็ตามที่มีไฟล์และข้อมูลล็อกอินสามารถลองเชื่อมต่อได้
6. ทดสอบจากนอกเครือข่ายบ้าน ใช้ข้อมูลมือถือบนโทรศัพท์ ไม่ใช่ Wi-Fi บ้าน ถ้าใช้ได้ตรงนั้น แปลว่าการเข้าถึงระยะไกลใช้ได้จริง

โปรดทราบว่าแอป VPN เชิงพาณิชย์บนโน้ตบุ๊กเครื่องเดียวกันอาจขัดกับ client ของ NAS ควรมีเพียงตัวเดียวที่ถือเส้นทางหลักในเวลาเดียวกัน ถ้าต้องใช้ทั้งสอง ให้ตรวจว่าแอปเชิงพาณิชย์มีวิธีให้ที่อยู่ภายในหรือที่อยู่เฉพาะอยู่นอกอุโมงค์ได้ไหม บทความ VPN ที่โฮสต์เองกับ VPN เชิงพาณิชย์ อธิบายว่าทำไมสองอย่างนี้เป็นเครื่องมือคนละชนิด

ขั้นที่ 4 ทดสอบ เฝ้าดู และเตรียมทางย้อนกลับ

การตั้งค่าที่ยังไม่ทดสอบคือการตั้งค่าที่ไว้ใจไม่ได้ ใช้แผนทดสอบสั้น ๆ และทำซ้ำทุกครั้งหลังอัปเดตเฟิร์มแวร์

การทดสอบ	วิธีทำ	เกณฑ์ผ่าน
เข้าถึงภายในได้	เปิดแชร์จากคอมพิวเตอร์ในเครือข่ายบ้าน	เปิดได้ด้วยความเร็วปกติ
เข้าถึงระยะไกลได้	ใช้ข้อมูลมือถือ เชื่อมต่อ VPN แล้วเปิดแชร์เดิม	เปิดได้ ช้ากว่าแต่ใช้งานได้
จากภายนอกมองไม่เห็น	ใช้ข้อมูลมือถือโดยไม่เปิด VPN ลองเปิดหน้าเว็บของ NAS ด้วย IP สาธารณะ	โหลดไม่ขึ้น
ที่อยู่ขาออก (ถ้ามีโปรไฟล์ client)	รันงานที่แสดงที่อยู่ขาออก	ต่างจากที่อยู่บ้าน
พฤติกรรมตอนอุโมงค์หลุด	ตัดโปรไฟล์ client โดยตั้งใจ	เป็นไปตามที่คุณตัดสินใจไว้
การแจ้งเตือน	ลองล็อกอินผิดโดยตั้งใจ	ได้รับการแจ้งเตือน

สำหรับการทดสอบที่ใช้กับ VPN ทุกแบบ ดู วิธีทดสอบ VPN และให้เปิดดู log การเชื่อมต่อและการล็อกอินของ NAS สัปดาห์ละครั้งในช่วงแรก การพยายามล็อกอินล้มเหลวซ้ำ ๆ จากที่อยู่ที่ไม่คุ้นเป็นเรื่องปกติของบริการที่เปิดสู่ภายนอก แต่ถ้าพุ่งขึ้นทันทีหรือมีการล็อกอินสำเร็จที่คุณไม่รู้จัก ต้องลงมือจัดการ

เตรียมทางย้อนกลับ ก่อนเปลี่ยนแต่ละครั้ง จดค่าเดิมไว้ ถ้าเข้าไม่ได้ ให้ต่อคอมพิวเตอร์ในเครือข่ายภายในเดียวกัน ปิดโปรไฟล์ VPN และกู้คอนฟิกที่บันทึกไว้ อย่าพยายามแก้การตั้งค่าระยะไกลที่พังจากข้างนอก มักทำให้แย่ลง

สามสถานการณ์ที่เป็นจริง

ช่างภาพ ลีนาเก็บรูปหลายปีบน QNAP และซิงก์งานใหม่จากโน้ตบุ๊ก เธออยากเข้าคลังรูปตอนเดินทาง เธอทำขั้นที่หนึ่งอย่างจริงจัง เปิดการล็อกอินสองขั้นตอน แล้วติดตั้งส่วน VPN server และ forward พอร์ตเดียว เธอใช้แอป VPN เชิงพาณิชย์บน Wi-Fi สาธารณะเฉพาะตอนไม่ได้เข้า NAS และหยุดมันเมื่อต้องใช้คลังรูป

ออฟฟิศเล็ก สตูดิโอออกแบบห้าคนใช้ NAS เป็นไดรฟ์ร่วม พนักงานสองคนทำงานจากบ้านบางวัน เจ้าของสร้างบัญชี VPN เฉพาะให้สองคนนั้น จำกัดสิทธิ์ไว้ที่แชร์ของโปรเจกต์ ตั้งกฎไฟร์วอลล์ให้อนุญาตเฉพาะพอร์ต VPN และบันทึกการตั้งค่าไว้สำหรับคนที่จะมาดูแลต่อ

กล่องดาวน์โหลด สมชายมี NAS ที่ดึงชุดข้อมูลสาธารณะข้ามคืน เขาไม่อยากให้การเชื่อมต่อเหล่านั้นมาจากที่อยู่บ้าน เขาสร้างโปรไฟล์ client ตรวจที่อยู่ขาออก และยืนยันว่างานตั้งเวลาหยุดเมื่ออุโมงค์หลุด เพราะเขาตั้งกฎไฟร์วอลล์ไว้ เขาปล่อยการแชร์ไฟล์ภายในไว้นอกอุโมงค์

ข้อผิดพลาดที่พบบ่อย

• เปิดหน้าเว็บของ NAS สู่อินเทอร์เน็ต "แค่วันเดียว" การสแกนอัตโนมัติเจอภายในไม่กี่นาที
• ใช้รหัสผ่านซ้ำ ระหว่าง NAS กับบัญชีอื่น
• Forward เป็นช่วงพอร์ต เพื่อความสบายใจ ให้ forward เฉพาะพอร์ตที่จำเป็น
• ลืมอัปเดตเฟิร์มแวร์ หลังตั้งค่าครั้งแรก
• เชื่อว่า VPN คือคำตอบสมบูรณ์ บทความ VPN ถูกแฮ็กได้ไหม พูดถึงข้อจำกัดจริง อุโมงค์ปลอดภัยเท่ากับปลายทั้งสองข้างเท่านั้น
• เปลี่ยนหลายอย่างพร้อมกัน แล้วบอกไม่ได้ว่าอะไรทำให้เข้าไม่ได้
• ไม่ทดสอบจากภายนอก แล้วมาพบว่าไม่ทำงานตอนอยู่ไกลบ้าน

สรุป

สำหรับ QNAP NAS VPN มาหลังพื้นฐาน เสริมความแข็งแรงให้เครื่องก่อน ตัดสินใจว่าต้องมีโปรไฟล์ client หรือไม่ เพิ่ม VPN server เฉพาะเมื่อต้องการเข้าถึงจากระยะไกล แล้วทดสอบจากภายนอกพร้อมแผนย้อนกลับ ตรวจว่าผู้ให้บริการให้อะไรมาจริงก่อนวางแผนโปรไฟล์ client และจำไว้ว่า VPN ปกป้องเส้นทาง ไม่ใช่จุดอ่อนที่ปลายทั้งสองข้าง

ถ้าอยากได้ VPN สำหรับคอมพิวเตอร์และมือถือของคุณเองด้วย หน้าราคา แสดงแพ็กเกจเติมเงิน และหน้าดาวน์โหลด มีลิงก์ไปยังแอป VPNclient ที่ใช้ฟรี