วิธีติดตั้ง VPN บน Raspberry Pi

Raspberry Pi เป็นคอมพิวเตอร์ขนาดเล็ก ราคาไม่แพง กินไฟน้อย และรัน Linux จึงเป็นที่นิยมสำหรับโครงการที่ต้องเปิดทั้งวัน VPN เข้ากับมันได้พอดี คือกล่องเงียบ ๆ ใต้ทีวีหรือข้างเราเตอร์ที่ปกป้องทราฟฟิกโดยไม่มีใครต้องแตะ แต่คำว่า "VPN บน Raspberry Pi" มีความหมายได้สามแบบ และตัวเลือกที่เหมาะขึ้นกับสิ่งที่คุณต้องการปกป้อง

คู่มือนี้พาไปตั้งแต่การเลือกบทบาท การเตรียมเครื่อง การตั้งค่าเกตเวย์ที่ใช้งานได้ ไปจนถึงการตรวจสอบว่ามันทำงานจริง เนื้อหาตั้งใจเป็นแบบกลาง ๆ เพราะวิธีเชื่อมต่อของแต่ละบริการ VPN ไม่เหมือนกัน ให้ทำตามรายละเอียดที่ผู้ให้บริการของคุณกำหนดสำหรับตัวอุโมงค์เสมอ ถ้ากำลังเทียบกล่องแบบนี้กับวิธีอื่น ลองอ่าน VPN บนเราเตอร์เทียบกับแอป VPN ก่อน

สามบทบาทที่ Raspberry Pi ทำได้

ตัดสินใจเรื่องบทบาทก่อนติดตั้งอะไรทั้งนั้น เพราะแต่ละบทบาทใช้ซอฟต์แวร์ต่างกันและมีความเสี่ยงต่างกัน

บทบาท	Pi ทำอะไร	เหมาะกับ	ความยาก
ไคลเอนต์	เชื่อมต่อ VPN ให้ทราฟฟิกของ Pi เองได้รับการปกป้อง	คนที่ใช้ Pi เป็นกล่องดาวน์โหลด มีเดียเซิร์ฟเวอร์ หรืองานอัตโนมัติเล็ก ๆ	ต่ำ
เกตเวย์	เชื่อมต่อ VPN และส่งต่อทราฟฟิกของอุปกรณ์อื่นผ่านอุโมงค์	ครัวเรือนที่อยากให้อุปกรณ์ชุดหนึ่ง เช่น ทีวีหรือคอนโซล ใช้อุโมงค์	ปานกลาง
เซิร์ฟเวอร์	รับการเชื่อมต่อจากมือถือและโน้ตบุ๊กของคุณ เพื่อเข้าถึงบ้านจากข้างนอก	คนที่อยากมีอุโมงค์ที่โฮสต์เองเข้าเครือข่ายบ้าน	สูงกว่า

สองแบบแรกใช้บริการ VPN ที่คนอื่นดูแล แบบที่สามคือคุณดูแลปลายทางอีกฝั่งเอง ซึ่งมีหน้าที่เรื่องการอัปเดต ไฟร์วอลล์ และที่อยู่ที่เข้าถึงได้ ดูการเปรียบเทียบที่ VPN ที่โฮสต์เองเทียบกับ VPN เชิงพาณิชย์ บทความนี้เน้นบทบาทไคลเอนต์และเกตเวย์

เตรียม Raspberry Pi

อุโมงค์บนบอร์ดที่เตรียมไม่ดีเป็นต้นเหตุของความหงุดหงิด ใช้เวลาสิบนาทีกับพื้นฐานเหล่านี้

1. ติดตั้ง Raspberry Pi OS Lite แบบ 64 บิตรุ่นล่าสุด หากรุ่นของคุณรองรับ อิมเมจ Lite ไม่มีเดสก์ท็อป ใช้หน่วยความจำน้อยกว่า เหมาะกับกล่องที่ทำงานเป็นบริการ
2. เปิด SSH และตั้งรหัสผ่านที่แข็งแรงหรือใช้คีย์ ในตัวเลือกขั้นสูงของ imager ก่อนบูตครั้งแรก แล้วค่อยปิดการล็อกอินด้วยรหัสผ่านเมื่อคีย์ใช้ได้
3. ใช้สายแลน ถ้า Pi เป็นเกตเวย์ การใช้ Wi-Fi คลื่นเดียวกันทั้งขาขึ้นและขาลงทั้งช้าและเปราะบาง
4. ตั้งที่อยู่คงที่ ในเครือข่ายบ้าน ด้วยการจอง DHCP ที่เราเตอร์หรือกำหนดแบบ static อุปกรณ์อื่นต้องรู้ว่าจะหาเกตเวย์ได้ที่ไหน
5. อัปเดตทุกอย่าง รัน sudo apt update && sudo apt full-upgrade แล้วรีบูต
6. ตรวจชนิดโปรเซสเซอร์ ด้วย uname -m ระบบ 64 บิตจะเห็น aarch64 และ 32 บิตเห็น armv7l ซอฟต์แวร์ที่ดาวน์โหลดต้องตรงกัน แพ็กเกจที่สร้างสำหรับพีซีเดสก์ท็อปอย่างเดียวจะรันไม่ได้
7. ใช้อะแดปเตอร์ไฟที่ดีและ SD การ์ดหรือ SSD ที่ไว้ใจได้ ไฟตกและการ์ดเสื่อมทำให้ Pi พังแบบสุ่มมากกว่าซอฟต์แวร์ใด ๆ

ติดตั้งไคลเอนต์สำหรับบริการของคุณ

วิธีเชื่อมต่อขึ้นกับสิ่งที่บริการ VPN ของคุณให้มาทั้งหมด มีสามสถานการณ์ทั่วไป

• บริการให้ไฟล์ config สำหรับอุโมงค์มาตรฐาน เช่น WireGuard หรือ OpenVPN ให้ติดตั้งไคลเอนต์โอเพนซอร์สที่ตรงกันจากตัวจัดการแพ็กเกจของ Pi แล้วนำเข้าไฟล์ นี่คือเส้นทางที่เป็นมิตรกับ Pi ที่สุด
• บริการมีแอปสำหรับ Linux ตรวจหน้าดาวน์โหลดว่ารองรับโปรเซสเซอร์ชนิดใด Pi เป็นบอร์ด ARM ตัวติดตั้งที่ทำมาสำหรับพีซี x86 อย่างเดียวจะรันบนมันไม่ได้ และไม่ควรสมมติเอาเองว่าได้
• บริการมีแต่แอปสำหรับมือถือและพีซี ในกรณีนี้ Pi เข้าร่วมเป็นไคลเอนต์ไม่ได้ เราเตอร์หรือแอปบนอุปกรณ์เป็นทางเลือกที่ดีกว่า

สำหรับ XPASS ลูกค้าเชื่อมต่อด้วยแอป VPNclient ฟรี และหน้า My Pass แสดงคำแนะนำการตั้งค่าและวิธีเชื่อมต่อที่รองรับของพาสนั้น ตรวจที่นั่นก่อนซื้ออุปกรณ์สำหรับงานนี้ และดู คู่มือติดตั้งบน Linux สำหรับขั้นตอนบน Linux เดสก์ท็อป อย่าเพิ่งเชื่อว่าบอร์ดจะใช้กับพาสได้จนกว่าจะยืนยันว่าบริการของคุณรองรับ

หลังติดตั้ง ให้ยืนยันอุโมงค์จากตัว Pi เอง

ip -brief address
curl -s https://example.com -o /dev/null -w "%{http_code}\n"
ip route get 1.1.1.1

ผล route lookup ควรระบุอินเทอร์เฟซอุโมงค์ เช่น tun0 หรือ wg0 เมื่ออุโมงค์รับทราฟฟิกทั้งหมด หน้า วิธีทดสอบ VPN รวบรวมการตรวจการรั่วและที่อยู่ที่ควรทำซ้ำเมื่อใช้งานได้แล้ว

เปลี่ยน Pi ให้เป็นเกตเวย์

หากอุปกรณ์อื่นต้องใช้อุโมงค์ Pi ต้องส่งต่อแพ็กเก็ตของพวกมัน โครงสร้างคือ อุปกรณ์ใน LAN ส่งทราฟฟิกมาที่ Pi, Pi ส่งเข้าอุโมงค์ และคำตอบกลับมาทางเดิม ต้องมีสามส่วน

เปิดการ forward สร้างไฟล์ /etc/sysctl.d/90-forward.conf ที่มี net.ipv4.ip_forward=1 แล้วรัน sudo sysctl --system

แปลที่อยู่ แพ็กเก็ตจาก LAN ใช้ที่อยู่ส่วนตัวที่อุโมงค์ไม่รู้จัก Pi ต้องเขียนที่อยู่เหล่านั้นใหม่เป็นที่อยู่อุโมงค์ของตัวเอง เรียกว่า masquerading

จำกัดการ forward อนุญาตเฉพาะทราฟฟิกจาก LAN ไปอุโมงค์ นี่คือ kill switch เมื่ออุโมงค์ล่ม อินเทอร์เฟซไม่มีอยู่ จึงไม่มีเส้นทางที่อนุญาต อุปกรณ์จะขาดการเชื่อมต่อแทนที่จะรั่วแบบเงียบ ๆ

ชุดกฎ nftables ขั้นต่ำที่ทำทั้งสองอย่าง

table ip nat {
  chain postrouting {
    type nat hook postrouting priority 100; policy accept;
    oifname "tun0" masquerade
  }
}

table inet gwfilter {
  chain forward {
    type filter hook forward priority 0; policy drop;
    iifname "eth0" oifname "tun0" accept
    iifname "tun0" oifname "eth0" ct state established,related accept
  }
}

เปลี่ยน tun0 เป็นชื่ออินเทอร์เฟซจริงของคุณ เช่น wg0 บันทึกใน /etc/nftables.conf รัน sudo nft -f /etc/nftables.conf และเปิดบริการ nftables เพื่อให้โหลดตอนบูต เนื่องจากเชน forward มีนโยบาย drop จึงไม่มีอะไรหลุดออกทาง eth0 ไปที่เราเตอร์โดยบังเอิญ อ่านหลักการได้ที่ Kill Switch ของ VPN คืออะไร

ชี้อุปกรณ์มาที่ Pi

Pi จะมีประโยชน์ก็ต่อเมื่ออุปกรณ์ส่งทราฟฟิกมาจริง ๆ มีสองวิธี และแต่ละวิธีมีข้อแลกเปลี่ยน

1. ตั้งเกตเวย์ด้วยมือต่ออุปกรณ์ บนทีวี คอนโซล หรือโน้ตบุ๊ก ตั้งเครือข่ายเป็นแมนนวลและใส่ที่อยู่ของ Pi เป็นเกตเวย์และ DNS วิธีนี้กระทบเฉพาะอุปกรณ์ที่คุณเลือก ซึ่งคนจำนวนมากต้องการพอดี
2. เปลี่ยนที่เราเตอร์ หากเราเตอร์ให้ตั้ง default gateway ที่แจกผ่าน DHCP ได้ ทุกอุปกรณ์จะตาม Pi วิธีนี้สะดวก แต่ทำให้ Pi เป็นจุดล้มเหลวจุดเดียวของทั้งบ้าน และเราเตอร์อาจไม่รองรับ

ไม่ว่าเลือกแบบไหนต้องคิดเรื่อง DNS ด้วย ถ้าอุปกรณ์ยังใช้เราเตอร์ค้นหาชื่อ คำถามเหล่านั้นจะข้ามอุโมงค์ ให้แจก resolver ของอุโมงค์ หรือติดตั้ง resolver เล็ก ๆ อย่าง dnsmasq บน Pi ที่ส่งต่อไปยัง DNS ของอุโมงค์ บทความ Split DNS ของ VPN อธิบายสิ่งที่อาจผิดพลาดเมื่อมี resolver สองตัวอยู่ร่วมกัน

เริ่มอัตโนมัติและกู้คืนจากความล้มเหลว

เกตเวย์ที่ต้องใช้คีย์บอร์ดทุกครั้งที่ไฟดับไม่ใช่เกตเวย์ที่ดี ทำสิ่งเหล่านี้ให้เป็นส่วนหนึ่งของการตั้งค่า

• เปิดอุโมงค์เป็นบริการ เพื่อให้เริ่มตอนบูตหลังเครือข่ายพร้อม กับไคลเอนต์ที่จัดการด้วย systemd ใช้คำสั่ง systemctl enable เพียงคำสั่งเดียว
• เพิ่มนโยบายรีสตาร์ท เพื่อให้ความล้มเหลวชั่วคราวไม่ทำให้ทั้งบ้านออฟไลน์
• ตั้งช่วงรีบูตประจำเฉพาะเมื่อสังเกตว่าประสิทธิภาพค่อย ๆ แย่ลง และอยู่นอกชั่วโมงที่คนดู Stream หรือทำงาน
• เตรียมแผนสำรองราคาถูก เช่นโน้ตที่แปะไว้ที่เราเตอร์บอกวิธีสลับอุปกรณ์กลับไปใช้เราเตอร์เป็นเกตเวย์
• สำรองอิมเมจ SD การ์ดเมื่อตั้งค่าเสร็จ การ์ดโคลนทดแทนการ์ดที่เสียได้ในไม่กี่นาที

ข้อจำกัดที่ควรรู้

Pi เป็นคอมพิวเตอร์ขนาดเล็ก ข้อจำกัดที่ตรงไปตรงมาสำคัญ

• อัตราส่งข้อมูล การเข้ารหัสใช้ CPU บอร์ดใหม่ ๆ รับมือสายอินเทอร์เฟซบ้านทั่วไปได้ดี แต่รุ่นเก่าและบอร์ดที่ใช้ Wi-Fi อาจเป็นคอขวด วัดด้วย speed test ผ่านอุโมงค์แทนการเดา
• จุดล้มเหลวจุดเดียว ถ้า Pi ไฟเลี้ยง หรือการ์ดเสีย ทุกอุปกรณ์ที่พึ่งมันจะขาดการเชื่อมต่อ
• เฉพาะอุปกรณ์ที่ชี้มาที่มัน โทรศัพท์ที่ใช้เน็ตมือถือเวลาเดินทางอยู่นอกการตั้งค่าในบ้านโดยสิ้นเชิง
• ไม่ใช่ยาครอบจักรวาลของความเป็นส่วนตัว อุโมงค์ซ่อนปลายทางจากเครือข่ายท้องถิ่น แต่การล็อกอินบัญชี คุกกี้ และลายนิ้วมือเบราว์เซอร์ยังระบุตัวคุณได้ อ่าน VPN ป้องกันอะไรไม่ได้บ้าง
• การดูแลรักษา อุปกรณ์ที่เปิดตลอดต้องอัปเดต ตั้งเวลาตรวจเดือนละครั้ง
• กฎของบริการ บริการ Stream ธนาคาร และเกมบางแห่งไม่ชอบการเชื่อมต่อ VPN นั่นเป็นกฎของบริการเหล่านั้น ไม่ใช่ความผิดของ Pi

ตรวจเกตเวย์ให้ครบทั้งเส้นทาง

อย่าเชื่อการตั้งค่าเพียงเพราะ Pi บอกว่าอุโมงค์ขึ้นแล้ว ให้ไล่ตรวจทั้งเส้นทางจากมุมมองของอุปกรณ์ที่ใช้มัน

1. บนอุปกรณ์ ตรวจว่าการตั้งค่าเครือข่ายแสดง Pi เป็นเกตเวย์และเซิร์ฟเวอร์ DNS
2. เปิดหน้าเว็บตรวจที่อยู่ธรรมดา แล้วเทียบที่อยู่ที่รายงานกับที่เห็นเมื่อไม่ผ่าน Pi ควรต่างกันหากอุโมงค์รับทราฟฟิก
3. ทดสอบ DNS Leak จากตัวอุปกรณ์ ตามขั้นตอนใน DNS Leak คืออะไร
4. ตั้งใจดึงอุโมงค์ลงด้วย sudo systemctl stop ที่บริการไคลเอนต์ แล้วยืนยันว่าอุปกรณ์ขาดการเชื่อมต่อ ไม่ใช่ออกอินเทอร์เน็ตผ่านเราเตอร์ นี่พิสูจน์ว่ากฎ forward ทำงาน
5. เริ่มอุโมงค์ใหม่ และยืนยันว่าอุปกรณ์กลับมาใช้งานได้โดยไม่ต้องรีสตาร์ท
6. ปิดและเปิดไฟ Pi จริง ๆ ไม่ใช่แค่รีบูตแบบซอฟต์ แล้วทำขั้นที่ 1 และ 2 ซ้ำ

ตัวอย่างในครอบครัวแสดงว่าทำไมขั้นที่ 4 สำคัญ พิมชี้ทีวีห้องนั่งเล่นมาที่ Pi และเห็นที่อยู่ต่างไป เธอจึงคิดว่าทุกอย่างเรียบร้อย หนึ่งสัปดาห์ต่อมาอุโมงค์หลุดตอนกลางคืน ถ้านโยบายเป็น drop ทีวีจะแสดงข้อผิดพลาดเครือข่ายในตอนเช้า ถ้าเป็น accept ทีวีจะ Stream ต่อผ่านเส้นปกติโดยไม่มีใครรู้ ความล้มเหลวที่มองเห็นได้ดีกว่าความล้มเหลวที่เงียบ

ข้อผิดพลาดที่พบบ่อย

• เลือกบทบาทเซิร์ฟเวอร์ทั้งที่ต้องการแค่ไคลเอนต์
• ใช้แพ็กเกจที่สร้างสำหรับโปรเซสเซอร์คนละชนิด
• ลืมเปิด forwarding แล้วงงว่าทำไมอุปกรณ์ไม่มีเน็ต
• ปล่อยนโยบาย forward เป็น accept ทราฟฟิกจึงใช้เราเตอร์เมื่ออุโมงค์หลุด
• ชี้อุปกรณ์มาที่ Pi แต่ปล่อย DNS ไว้ที่เราเตอร์
• จ่ายไฟ Pi ด้วยที่ชาร์จโทรศัพท์กำลังต่ำ
• ไม่ทดสอบซ้ำหลังเปลี่ยนเราเตอร์

สรุป

ตัดสินใจก่อนว่า Pi เป็นไคลเอนต์ เกตเวย์ หรือเซิร์ฟเวอร์ สำหรับบทบาทไคลเอนต์และเกตเวย์ ให้เตรียมระบบ Lite ที่สะอาด ต่อสายแลน ตั้งที่อยู่คงที่ ติดตั้งวิธีไคลเอนต์ที่บริการ VPN ของคุณรองรับ เปิด forwarding ด้วยกฎ nftables ที่เข้มงวด และชี้อุปกรณ์ที่เลือกมาที่มัน รวมถึง DNS ทดสอบด้วยวิธีเดียวกับที่ใช้ที่อื่น และจำข้อจำกัดเรื่องความเร็ว ความพร้อมใช้ และความเป็นส่วนตัวไว้

หากอยากรู้ว่าพาสมีอะไรบ้างก่อนวางแผนฮาร์ดแวร์ หน้าราคา มีรายละเอียด และหน้า My Pass แสดงวิธีเชื่อมต่อที่รองรับเมื่อคุณมีพาสแล้ว