วิธีตั้ง VPN บน Synology NAS

Synology NAS คือเซิร์ฟเวอร์ขนาดเล็กที่วางอยู่ในตู้หรือมุมห้อง เก็บรูปภาพ เอกสาร ข้อมูลสำรอง และบางครั้งมีแอปรันอยู่ด้วย พอเริ่มคิดเรื่องความเป็นส่วนตัวหรือการเข้าถึงจากระยะไกล คำถามเรื่อง VPN ก็ผุดขึ้นมาแบบสับสน เพราะประโยค "อยากได้ VPN บน NAS" แปลได้สามแบบ และแต่ละแบบต้องตั้งค่าไม่เหมือนกัน เลือกผิดแล้วอาจไม่ได้อะไรเลย หรือเผลอเปิดประตูทิ้งไว้

บทความนี้แยกสามกรณีให้ชัด อธิบายค่าที่สำคัญบน DiskStation Manager (DSM) ของ Synology และเสนอลำดับการทำงานที่ใช้ได้จริง บทความไม่ระบุหรือรับรองบริษัท VPN ใด และไม่รับรองว่าข้อมูลล็อกอิน VPN ทุกชุดจะใช้ได้ในโปรไฟล์ของ NAS ชื่อเมนูเปลี่ยนไปตามเวอร์ชัน DSM จึงควรอ่านขั้นตอนเป็นแนวทางว่าต้องมองหาอะไร ไม่ใช่สคริปต์ให้คลิกตามทีละจุด

คุณต้องการ VPN แบบไหนในสามแบบ

เริ่มจากการพูดให้ชัดว่ากำลังแก้ปัญหาอะไร

เป้าหมาย	NAS เป็น...	ความหมาย
"NAS ดาวน์โหลดหรือซิงก์ผ่านอินเทอร์เน็ต อยากให้ทราฟฟิกนั้นได้รับการปกป้อง"	VPN client	NAS เชื่อมต่อออกไปยังเซิร์ฟเวอร์ VPN ภายนอก และส่งทราฟฟิกอินเทอร์เน็ตบางส่วนหรือทั้งหมดผ่านนั้น
"อยากเปิดไฟล์จากโรงแรมหรือที่ทำงานโดยไม่เปิด NAS ให้คนทั้งโลกเห็น"	VPN server	NAS รับการเชื่อมต่อจากอุปกรณ์ที่ได้รับอนุญาต และให้เข้าถึงเครือข่ายที่บ้านได้
"อยากให้โน้ตบุ๊กปลอดภัยบน Wi-Fi สาธารณะ และอยากเข้า NAS ได้ด้วย"	ไม่ใช่ทั้งสองอย่าง	แอป VPN ทำงานที่โน้ตบุ๊ก NAS อยู่ตามเดิม และเข้าถึงด้วยอีกเส้นทางหนึ่ง

ความสับสนส่วนใหญ่เกิดจากการปนแถวที่สองกับแถวที่สาม แอป VPN เชิงพาณิชย์บนโน้ตบุ๊กปกป้องทราฟฟิกของโน้ตบุ๊ก แต่ไม่ได้ให้ทางเข้าเครือข่ายที่บ้าน และในบางการตั้งค่ายังทำให้เข้าอุปกรณ์ในบ้านยากขึ้นด้วย การอ่าน VPN ที่โฮสต์เองกับ VPN เชิงพาณิชย์ ก่อนช่วยให้เห็นว่าทั้งสองเป็นผลิตภัณฑ์ที่ทำหน้าที่ต่างกัน

แบบ A ให้ NAS เป็น VPN client

กรณีนี้คือต้องการให้ตัว NAS ส่งทราฟฟิกผ่านเซิร์ฟเวอร์ VPN ภายนอก คนมักทำเมื่อ NAS รันเครื่องมือดาวน์โหลด ตัวทำดัชนี คอนเทนเนอร์ หรืองานซิงก์ และไม่อยากให้การเชื่อมต่อเหล่านั้นเผยที่อยู่ของบ้าน

DSM มีฟีเจอร์ VPN client ในรุ่นล่าสุดอยู่ที่ Control Panel แล้วไปที่ Network ต่อด้วย Network Interface ซึ่งสร้างโปรไฟล์ VPN ได้ ระบบมีประเภทการเชื่อมต่อให้เลือกไม่กี่แบบ และคุณนำเข้าหรือกรอกรายละเอียดที่ผู้ให้บริการเผยแพร่ สำหรับโปรไฟล์ชนิด OpenVPN มักต้องอัปโหลดไฟล์คอนฟิกแล้วกรอกชื่อผู้ใช้และรหัสผ่าน ถ้อยคำในเมนูจะต่างกันตามเวอร์ชัน DSM

ขั้นตอนที่ใช้ได้ในกรณีส่วนใหญ่

1. ตรวจว่าผู้ให้บริการให้อะไรมา โปรไฟล์บน DSM ต้องการไฟล์เชื่อมต่อหรือรายละเอียดเซิร์ฟเวอร์ เอกสารของผู้ให้บริการ หรือสำหรับ XPASS คือข้อมูลการตั้งค่าในหน้า My Pass จะบอกว่ามีวิธีเชื่อมต่อแบบใดบ้าง ถ้าไม่มีอะไรตรงกับที่ DSM รับได้ แปลว่าโปรไฟล์บน NAS ไม่ใช่ทางเลือกสำหรับบริการนั้น ให้ยอมรับตามนั้นแทนการเดา
2. สร้างโปรไฟล์ ในส่วน Network Interface และกรอกชื่อผู้ใช้กับรหัสผ่านจากผู้ให้บริการ อย่าใช้อีเมลของเว็บไซต์
3. มองหาตัวเลือกที่ควบคุมการกำหนดเส้นทาง บางเวอร์ชันมีตัวเลือกให้ส่งทราฟฟิกทั้งหมดผ่านเครือข่ายปลายทาง ถ้าเปิด เกือบทุกอย่างจะออกผ่านอุโมงค์ ถ้าปิด จะมีเฉพาะทราฟฟิกของเครือข่ายภายในของ VPN เท่านั้นที่ผ่าน ซึ่งไม่ใช่สิ่งที่ต้องการในกรณีนี้
4. เชื่อมต่อ และตรวจว่า NAS แสดงสถานะเชื่อมต่อแล้ว
5. ทดสอบจากฝั่ง NAS ใช้งานที่เผยที่อยู่ขาออก เช่นการตรวจผ่านบรรทัดคำสั่งหรือหน้าสถานะของเครื่องมือดาวน์โหลด แล้วยืนยันว่าไม่ใช่ที่อยู่บ้านของคุณ
6. ทดสอบการเข้าถึงภายใน เปิดไฟล์จากคอมพิวเตอร์ผ่านเครือข่ายบ้าน ถ้าไม่ได้หรือช้า แปลว่าทราฟฟิกภายในถูกดึงเข้าอุโมงค์และต้องปรับเส้นทาง

โปรไฟล์ client บน NAS มักเป็นสวิตช์แบบเปิดทั้งหมดหรือปิดทั้งหมด ตรงนี้เองที่คอนเทนเนอร์เข้ามามีบทบาท บางคนรัน VPN client ภายในคอนเทนเนอร์เฉพาะแอปหนึ่ง เพื่อให้เฉพาะทราฟฟิกของแอปนั้นเข้าอุโมงค์ ซึ่งขั้นสูงกว่า และขึ้นกับการตั้งค่าคอนเทนเนอร์และไฟล์จากผู้ให้บริการ ถ้าเลือกทางนี้ ให้ทำช้า ๆ และสำรองการตั้งค่าของ NAS ไว้ก่อน

แบบ B ให้ NAS เป็น VPN server

ถ้าเป้าหมายคือเข้าถึงไฟล์และอุปกรณ์ในบ้านอย่างปลอดภัยจากภายนอก NAS เป็นประตูเข้าของ VPN ได้ Synology มีแพ็กเกจ VPN server ให้ติดตั้งจากศูนย์แพ็กเกจ เลือกประเภทการเชื่อมต่อ แล้วสร้างบัญชีหรือใบรับรองให้คนที่ได้รับอนุญาต

สิ่งที่ต้องทำให้ถูก

• เลือกประเภทที่เสี่ยงน้อยที่สุด ประเภทเก่าอย่าง PPTP มีจุดอ่อนที่รู้กันดี อ่านเหตุผลใน ความปลอดภัยของ PPTP แล้วเลือกตัวเลือกสมัยใหม่ที่ DSM มี และดูคำแนะนำล่าสุดของแพลตฟอร์ม คู่มือ IPsec VPN ของ NIST และเอกสารชุมชน OpenVPN เป็นแหล่งอ้างอิงที่เป็นกลาง
• เปิด forward เฉพาะพอร์ตที่จำเป็น เราเตอร์ต้องส่งพอร์ตของ VPN server มายัง NAS เปิดหนึ่งพอร์ต ไม่ใช่เป็นช่วง และอ่าน VPN port forwarding อธิบาย เพื่อเข้าใจว่ากำลังเปิดอะไรออกไป
• ตรวจว่าติด CGNAT หรือไม่ ถ้าผู้ให้บริการใช้ IP สาธารณะร่วมกันหลายราย การ forward จะใช้ไม่ได้เลย ต้องใช้วิธีอื่น เช่นรีเลย์ หรือขอที่อยู่จากผู้ให้บริการ
• ใช้ข้อมูลล็อกอินที่แข็งแรงและแยกกัน สร้างบัญชีเฉพาะคนที่ต้องใช้ และเปิดการยืนยันสองขั้นตอนที่ตัว NAS การยืนยันตัวตนสองขั้นตอนคืออะไร อธิบายตัวเลือกไว้ และแนวทางของ CISA เป็นเอกสารอ้างอิงภาษาง่าย
• จำกัดตามบัญชี และถ้าทำได้ตามเครือข่าย ฟีเจอร์ไฟร์วอลล์ของ DSM จำกัดได้ว่าที่อยู่ต้นทางใดเข้าพอร์ต VPN ได้บ้าง ทำเฉพาะเมื่อที่อยู่ที่คุณใช้ตอนเดินทางคาดเดาได้
• อัปเดต DSM และแพ็กเกจเสมอ อุปกรณ์เครือข่ายที่เปิดสู่ภายนอกเป็นเป้าหมายที่พบบ่อย การแพตช์จึงสำคัญ

เมื่อเชื่อมต่อแล้ว โน้ตบุ๊กหรือมือถือของคุณจะได้ที่อยู่บนเครือข่ายเสมือน และเข้าถึง NAS กับอุปกรณ์อื่นในบ้านได้เหมือนอยู่ที่บ้าน ส่วนทราฟฟิกอื่นของอุปกรณ์ยังไปตามเส้นทางปกติ เว้นแต่คุณตั้งค่าให้ต่างไป

ถ้าคุณเดินทางบ่อย คุณอาจต้องการทั้งสองอย่าง คือ server บน NAS สำหรับเข้าบ้าน และแอป VPN เชิงพาณิชย์บนโน้ตบุ๊กสำหรับ Wi-Fi สาธารณะ ทั้งสองอยู่ร่วมกันได้ แต่ต้องระวังเล็กน้อย ซึ่งเป็นหัวข้อถัดไป

แบบ C เปิด VPN ที่คอมพิวเตอร์ แล้วยังอยากเข้า NAS

นี่คือสถานการณ์จริงที่พบมากที่สุด คุณเปิดแอป VPN บนโน้ตบุ๊ก แล้ว NAS ในเครือข่ายบ้านดูเหมือนหายไปเฉย ๆ

สาเหตุคือแอป VPN ส่งทราฟฟิกทั้งหมดของโน้ตบุ๊กเข้าอุโมงค์ รวมถึงคำขอไปยังที่อยู่ภายในอย่าง 192.168.1.50 เซิร์ฟเวอร์ VPN เข้าไปในบ้านคุณไม่ได้ คำขอจึงล้มเหลว แอป VPN บางตัวมีการตั้งค่าให้ทราฟฟิกเครือข่ายภายในอยู่นอกอุโมงค์ มักเรียกว่าการเข้าถึงเครือข่ายภายในหรือ LAN bypass ถ้าแอปของคุณมีให้เปิด ส่วนบางตัวมี split tunneling ให้แอปหรือปลายทางที่เลือกข้ามอุโมงค์

ทางเลือกที่ใช้ได้เมื่อ NAS หาย

1. ใช้การตั้งค่าเครือข่ายภายในของแอป ถ้ามี แล้วเชื่อมต่อใหม่
2. เชื่อมต่อ NAS ด้วยที่อยู่ภายใน ไม่ใช่ชื่อที่ต้องแปลผ่าน DNS ของ VPN ชื่อที่ลงท้ายด้วยโดเมนบ้านของคุณอาจแปลไม่ได้เมื่อผ่านตัวแปลงชื่อภายนอก
3. ใช้ split tunneling กับตัวจัดการไฟล์หรือโปรแกรมฝั่งไคลเอนต์ของ NAS เพื่อให้ทราฟฟิกไปตรง ๆ
4. หยุด VPN ชั่วครู่ เมื่อแค่ต้องคัดลอกไฟล์และอยู่บนเครือข่ายที่ไว้ใจได้

เมื่ออยู่นอกบ้าน การเข้า NAS ต้องอาศัยแบบ B หรือฟีเจอร์เข้าถึงระยะไกลของ Synology เอง แอป VPN ไม่ได้เปิดประตูนั้นให้

อะไรควรผ่าน VPN และอะไรควรปล่อยไว้

ถ้าตั้งให้ NAS อยู่หลัง VPN client ให้เลือกสิ่งที่จะส่ง ไม่ใช่ทุกงานของ NAS ที่ได้ประโยชน์

งานของ NAS	ส่งผ่าน VPN ไหม	เหตุผล
ดาวน์โหลดและทำดัชนี	มักใช่	ไม่เผยที่อยู่บ้านในการเชื่อมต่อเหล่านั้น
คอนเทนเนอร์ที่ดึงข้อมูลจากเว็บ	มักใช่	อุโมงค์เดียวสำหรับทั้งคอนเทนเนอร์
แชร์ไฟล์ภายในและ Stream สื่อในบ้าน	ไม่	ทราฟฟิกภายในควรอยู่ใน LAN
สำรองข้อมูลขึ้นคลาวด์และซิงก์ไปบริการเก็บข้อมูล	แล้วแต่กรณี	ใช้ได้ถ้าเสถียร แต่เซสชันยาว ๆ อาจหลุด
ฟีเจอร์เข้าถึงระยะไกลที่ใช้รีเลย์ของผู้ผลิต	มักไม่	อาจชนกับอุโมงค์
ตรวจอัปเดตและดาวน์โหลดแพ็กเกจ	อย่างไรก็ได้	ใช้ได้ทั้งสองแบบ

ถ้าคุณส่งทุกอย่างผ่านอุโมงค์ ให้คาดว่าจะมีผลข้างเคียง ฟีเจอร์เข้าถึงระยะไกลของผู้ผลิตอาจหยุดทำงาน งานที่ตั้งเวลาไว้อาจล้มเมื่ออุโมงค์หลุด และการเข้าถึงภายในจากอุปกรณ์อื่นอาจต้องกำหนดเส้นทางชัดเจน นี่คือเหตุผลที่การเลือกส่งเฉพาะบางส่วน ในกรณีที่ NAS ให้ทำได้ คุ้มกับความพยายามเพิ่ม

พฤติกรรมคล้าย kill switch ก็ควรคิดไว้ด้วย ถ้าอุโมงค์หลุดแต่ NAS ยังทำงาน การดาวน์โหลดอาจต่อเนื่องบนการเชื่อมต่อปกติ และเผยที่อยู่บ้านที่ตั้งใจซ่อน DSM ไม่ได้มี kill switch ที่แน่นอนให้ทุกรูปแบบ จึงควรทดสอบว่าเกิดอะไรขึ้นเมื่อตัดการเชื่อมต่อเอง แล้วตัดสินว่ากฎไฟร์วอลล์หรือวิธีแบบคอนเทนเนอร์ปลอดภัยกว่าสำหรับคุณหรือไม่

แก้ปัญหา NAS ที่ใช้กับ VPN

อาการ	สาเหตุที่เป็นไปได้	ลองทำ
โปรไฟล์เชื่อมต่อไม่ได้	ข้อมูลล็อกอินหรือไฟล์ผิด หรือเวลา/วันที่ของ NAS ผิด	กรอกใหม่ ตรวจนาฬิกาและเขตเวลาของ NAS
เชื่อมต่อได้แต่ NAS ไม่มีอินเทอร์เน็ต	ยังไม่ตั้งตัวเลือกเส้นทางหรือ DNS	สลับตัวเลือก default gateway ตั้งค่าเซิร์ฟเวอร์ DNS
เชื่อมต่อแล้วเข้า NAS จากคอมพิวเตอร์ไม่ได้	ทราฟฟิกภายในถูกอุโมงค์ดูด	ปิดตัวเลือกส่งทราฟฟิกทั้งหมด และเพิ่มเส้นทางภายใน
หลุดทุกไม่กี่ชั่วโมง	Idle timeout หรือเซิร์ฟเวอร์ของผู้ให้บริการรีสตาร์ต	เปิดเชื่อมต่อใหม่อัตโนมัติ ตรวจ log
VPN server ใช้ในบ้านได้แต่ภายนอกไม่ได้	ยังไม่ forward พอร์ต ไฟร์วอลล์ หรือ CGNAT	ตรวจกฎ forward และเทียบที่อยู่ WAN ของเราเตอร์กับ IP สาธารณะเพื่อตัด CGNAT
ฟีเจอร์ระยะไกลของผู้ผลิตหยุดทำงาน	สองฟีเจอร์แย่งเส้นทางกัน	ปิดโปรไฟล์ client ระหว่างที่ใช้ฟีเจอร์นั้น

สำหรับการแก้ปัญหาทั่วไปที่ใช้ได้กับ VPN ทุกแบบ VPN ต่อไม่ได้ มีเช็กลิสต์ที่ไล่ตามลำดับ บน NAS เอง ศูนย์ log มักบอกว่าอะไรล้มเหลวชัดกว่าสถานะการเชื่อมต่ออย่างมาก

นิสัยด้านความปลอดภัยที่ควรทำก่อนเริ่ม

NAS เป็นที่เก็บข้อมูลส่วนตัว VPN จึงเป็นเพียงชั้นหนึ่งจากหลายชั้น

• สำรองก่อนเปลี่ยนการตั้งค่าเครือข่าย ส่งออกคอนฟิก DSM และเก็บสำเนาข้อมูลสำคัญไว้ที่อื่น
• ปิดบริการที่ไม่ใช้ ทุกบริการที่เปิดรับการเชื่อมต่อคือทางเข้าที่เป็นไปได้
• อย่าเปิดหน้าจัดการสู่ภายนอกโดยตรง ถ้าต้องดูแลระยะไกล ให้เข้าผ่าน VPN server ไม่ใช่ผ่านพอร์ตเว็บที่ forward ไว้
• แยกบัญชีผู้ดูแลกับบัญชีใช้งานประจำ ปิดบัญชีเริ่มต้นเมื่อระบบอนุญาต
• ตรวจไฟร์วอลล์หลังเปลี่ยนทุกครั้ง กฎที่กว้างเกินไปล้างความระมัดระวังทั้งหมดของคุณได้
• จำไว้ว่า VPN ไม่ครอบคลุมอะไร ไม่หยุดมัลแวร์ที่คุณคัดลอกเข้า NAS รหัสผ่านที่ถูกขโมย หรือการตั้งค่าแชร์ที่ผิด ดู สิ่งที่ VPN ปกป้องคุณไม่ได้

สรุป

"VPN บน Synology NAS" แปลได้สามอย่าง ใช้โปรไฟล์ VPN client ของ DSM เมื่อตัว NAS ต้องส่งทราฟฟิกผ่านเซิร์ฟเวอร์ภายนอก ใช้แพ็กเกจ VPN server เมื่อต้องการเข้าไฟล์ของตัวเองอย่างปลอดภัยจากที่อื่น และใช้แอป VPN ธรรมดาบนคอมพิวเตอร์เมื่อโน้ตบุ๊กคือสิ่งที่ต้องปกป้อง ตรวจให้แน่ว่าผู้ให้บริการให้อะไรมาก่อนวางแผนโปรไฟล์บน NAS ไม่ให้ทราฟฟิกภายในเข้าอุโมงค์ forward เฉพาะพอร์ตที่จำเป็น และทดสอบว่าเกิดอะไรขึ้นเมื่ออุโมงค์หลุด

ถ้าตัดสินใจว่าต้องการ VPN สำหรับคอมพิวเตอร์และมือถือ หน้าราคา แสดงตัวเลือกแบบเติมเงิน และหน้าดาวน์โหลด พาไปยังแอป VPNclient ที่ใช้ฟรี