P2P VPN คืออะไร? ต่างจาก VPN เชิงพาณิชย์อย่างไร

เวลาคนค้นคำว่า "P2P VPN" มักหมายถึงสองอย่างที่ต่างกันมาก และการสับสนระหว่างสองอย่างนี้ทำให้ตัดสินใจซื้อผิดได้ง่าย ความหมายแรกคือสถาปัตยกรรมเครือข่ายที่อุปกรณ์สร้างอุโมงค์เข้ารหัสถึงกันโดยตรง แทนที่จะส่งทุกอย่างผ่านเครื่องกลางเครื่องเดียว ความหมายที่สองคือบริการที่ยืมอินเทอร์เน็ตบ้านของผู้ใช้คนอื่นมาเป็นจุดออกสู่เน็ต บทความนี้เน้นความหมายแรกเป็นหลัก เพราะนั่นคือสิ่งที่คำว่า P2P VPN ในเชิงสถาปัตยกรรมหมายถึง แต่จะเตือนเรื่องความหมายที่สองด้วย

เป้าหมายคือให้ใช้งานได้จริง อ่านจบแล้วคุณควรดูคำอธิบายผลิตภัณฑ์แล้วบอกได้ว่าเป็นแบบเชื่อมตรงหรือแบบเกตเวย์ และรู้ว่าแต่ละแบบส่งผลต่อความเป็นส่วนตัว ความเร็ว และการใช้งานประจำวันอย่างไร หากยังไม่คุ้นกับแนวคิดเรื่องอุโมงค์ ให้อ่าน VPN tunnel คืออะไร ก่อน

รูปทรงของเครือข่าย VPN สองแบบ

VPN เกือบทั้งหมดเข้าได้กับหนึ่งในสองรูปทรง

แบบฮับและซี่ล้อ (hub and spoke) ทุกเครื่องเชื่อมต่อกับเกตเวย์กลางตัวเดียว มือถือคุยกับเกตเวย์ แล็ปท็อปคุยกับเกตเวย์ และถ้าอุปกรณ์สองเครื่องของคุณจะคุยกันเองก็ต้องผ่านเกตเวย์นั้นด้วย VPN เชิงพาณิชย์ทำงานแบบนี้ โดยเกตเวย์เป็นของผู้ให้บริการ แล้วทราฟฟิกของคุณออกสู่อินเทอร์เน็ตจากจุดนั้น VPN ขององค์กรสำหรับเข้าระบบจากที่บ้านก็ใช้รูปทรงเดียวกัน เพียงแต่เกตเวย์ตั้งอยู่ที่สำนักงาน

แบบเพียร์ทูเพียร์ (mesh) อุปกรณ์สร้างอุโมงค์ถึงกันโดยตรง แล็ปท็อปของคุณมีอุโมงค์ไปคอมพิวเตอร์ที่บ้าน อีกเส้นไปมือถือ และอีกเส้นไปเครื่องที่ออฟฟิศ ไม่มีเกตเวย์ตัวใดแบกทุกอย่าง ตัวอย่างที่ง่ายที่สุดคือคอมพิวเตอร์สองเครื่องที่ถือกุญแจคู่กันและมีลิงก์เข้ารหัสตรงหากัน เมื่อขยายเป็นหลายเครื่องก็คือแนวคิดเดิมซ้ำไปเรื่อย ๆ ด้านการใช้งานจริงอยู่ในบทความ เครื่องมือ mesh VPN

คำถาม	ฮับและซี่ล้อ (VPN เชิงพาณิชย์หรือขององค์กร)	เพียร์ทูเพียร์ (mesh)
ทราฟฟิกวิ่งไปทางไหน	ผ่านเกตเวย์กลาง	ตรงระหว่างอุปกรณ์เมื่อเป็นไปได้
จุดประสงค์หลัก	ป้องกันทราฟฟิกบนเครือข่ายที่ไว้ใจไม่ได้ และแสดง IP สาธารณะอีกค่า	เข้าถึงอุปกรณ์ของตัวเองอย่างปลอดภัย เชื่อมเครือข่ายขนาดเล็ก
จุดล้มเหลวจุดเดียว	ตัวเกตเวย์	แทบไม่มี แต่บริการประสานงานช่วยตอนเริ่มเชื่อม
ความหน่วงระหว่างอุปกรณ์ของตัวเอง	สูงกว่า เพราะต้องอ้อม	ต่ำกว่า เพราะเส้นทางตรง
ต้องไว้ใจใคร	ผู้ดูแลเกตเวย์	ผู้ประสานงานกุญแจ และอุปกรณ์ทุกเครื่องในวง
ใช้เป็นทางออกสู่อินเทอร์เน็ตได้ไหม	ได้	ได้เฉพาะเมื่อตั้งเครื่องหนึ่งให้เป็นจุดออก

ตารางนี้ชี้ประเด็นสำคัญที่สุดแล้ว คือสองรูปทรงแก้ปัญหาคนละเรื่อง การคิดว่าแบบหนึ่งใช้แทนอีกแบบได้คือความผิดพลาดที่พบบ่อยที่สุด

อุปกรณ์หากันเจอได้อย่างไร

อุปกรณ์สองเครื่องโทรหากันตรง ๆ ไม่ได้ เพราะส่วนใหญ่อยู่หลังเราเตอร์บ้านหรือเครือข่ายมือถือที่ซ่อนที่อยู่จริงไว้ P2P VPN จึงต้องมีสามองค์ประกอบก่อนที่ข้อมูลเข้ารหัสจะเริ่มไหล

1. ตัวตน อุปกรณ์แต่ละเครื่องมีกุญแจคู่หนึ่งชุด กุญแจสาธารณะแจกให้เครื่องอื่นได้ ส่วนกุญแจส่วนตัวต้องไม่ออกจากเครื่อง การออกแบบสมัยใหม่อย่าง WireGuard อธิบายอุปกรณ์แต่ละตัวด้วยกุญแจสาธารณะและช่วงที่อยู่ที่อนุญาตเท่านั้น
2. การประสานงาน อุปกรณ์ต้องรู้ที่อยู่สาธารณะและพอร์ตปัจจุบันของกันและกัน บริการประสานงานขนาดเล็ก บางครั้งเรียกว่า rendezvous หรือ control server จะส่งข้อมูลนี้และรายการกุญแจที่อนุมัติแล้ว โดยไม่จำเป็นต้องเห็นเนื้อหาทราฟฟิกของคุณ
3. ทางผ่านเราเตอร์ เพราะมีการแปลงที่อยู่ (NAT) เส้นทางตรงจึงมักต้องถูกเปิดอย่างเฉลียวฉลาด โดยทั้งสองฝั่งส่งแพ็กเก็ตเล็ก ๆ หากันในเวลาใกล้เคียงกัน เพื่อให้เราเตอร์ของแต่ละฝั่งสร้างช่องชั่วคราวขึ้นมา เทคนิคนี้เรียกรวม ๆ ว่า NAT traversal

เมื่อทั้งสามอย่างทำงาน แพ็กเก็ตจะไหลตรงระหว่างอุปกรณ์ แต่ถ้าไม่ได้ ระบบจะถอยไปใช้รีเลย์

รีเลย์ ส่วนเงียบ ๆ ของเครือข่ายที่ "เชื่อมตรง"

ไม่มีเครือข่ายเพียร์ทูเพียร์ใดที่เป็นเพียร์ทูเพียร์ล้วน ๆ อินเทอร์เน็ตบ้านบางแห่งอยู่หลังระบบแชร์ที่อยู่ระดับผู้ให้บริการ และเครือข่ายออฟฟิศบางแห่งบล็อกแพ็กเก็ตขาเข้าที่ไม่ได้ร้องขอ ในกรณีเหล่านั้นอุปกรณ์สองเครื่องเปิดเส้นทางตรงไม่ได้ ทางออกปกติคือรีเลย์ ซึ่งเป็นเครื่องสาธารณะที่ส่งต่อแพ็กเก็ตที่เข้ารหัสแล้วจากฝั่งหนึ่งไปอีกฝั่ง

มีสองข้อที่ควรรู้

• รีเลย์อ่านทราฟฟิกของคุณไม่ได้ อุโมงค์เข้ารหัสแบบต้นทางถึงปลายทางระหว่างอุปกรณ์สองเครื่อง รีเลย์จึงเห็นแค่แพ็กเก็ตที่ถูกปิดผนึก แต่ยังเห็นได้ว่ามีสองที่อยู่คุยกันและปริมาณข้อมูลเท่าไร ซึ่งเป็นเมทาดาตา
• รีเลย์ทำให้ช้าลง ทราฟฟิกต้องอ้อมและรีเลย์เพิ่มความหน่วง ในทางปฏิบัติคอมพิวเตอร์ที่บ้านอาจเชื่อมตรง ขณะที่แล็ปท็อปที่ออฟฟิศผ่านรีเลย์ และคุณอาจไม่รู้ความต่างจนกว่าจะลองวัด

หากคุณใช้อินเทอร์เน็ตที่แชร์ IP สาธารณะเดียวกันหลายครัวเรือน บทความ การใช้ VPN กับ CGNAT อธิบายว่าทำไมบางครั้งจึงสร้างเส้นทางตรงไม่ได้

ความไว้ใจวางอยู่ตรงไหนในแต่ละแบบ

ความเป็นส่วนตัวไม่ได้ขึ้นอยู่กับการเข้ารหัสอย่างเดียว แต่ขึ้นอยู่กับว่าใครอยู่ตำแหน่งไหนบนเส้นทาง

ใน VPN เชิงพาณิชย์ คุณมอบความไว้ใจให้ผู้ดูแลเกตเวย์ในตำแหน่งที่ปกติเป็นของผู้ให้บริการอินเทอร์เน็ตของคุณ เครือข่ายท้องถิ่นเห็นแค่อุโมงค์เข้ารหัส ส่วนผู้ให้บริการเห็นได้ว่าคุณไปยังปลายทางใดบ้าง (แต่ไม่เห็นเนื้อหาของหน้าเว็บที่เข้ารหัส) นี่คือการย้ายความไว้ใจจริง ๆ จึงต้องดูข้อกำหนดที่โปร่งใส อ่านเพิ่มได้ที่ ผู้ให้บริการ VPN เห็นอะไรเกี่ยวกับคุณได้บ้าง

ใน เครือข่าย mesh แบบ P2P ไม่มีผู้ให้บริการคั่นกลางระหว่างการท่องเว็บของคุณ เพราะ mesh ไม่ได้ออกแบบมารับงานนั้น จุดที่ต้องไว้ใจจึงเป็นอย่างอื่น

• บริการประสานงานเป็นผู้ตัดสินว่ากุญแจใดอยู่ในเครือข่ายของคุณ ถ้าถูกเจาะหรือตั้งค่าผิด อุปกรณ์ที่ไม่พึงประสงค์อาจถูกรับเข้ามา
• อุปกรณ์ทุกเครื่องในวงเป็นประตูที่เป็นไปได้ แล็ปท็อปที่ถูกขโมยแต่ยังอยู่ในรายการอนุมัติจะเข้าถึงทุกอย่างที่กฎอนุญาต
• การตั้งค่าของคุณเองสำคัญมากขึ้น คุณกำหนดว่าใครเข้าถึงเครื่องไหนได้ และกฎที่หลวมเกินไปเปิดมากกว่าที่ตั้งใจ

เหตุนี้ mesh จึงเข้ากันดีกับแนวคิดให้สิทธิ์เท่าที่จำเป็นที่อธิบายใน Zero Trust เทียบกับ VPN การเชื่อมตรงลดจำนวนทางอ้อม แต่ไม่ได้ลบความจำเป็นในการจำกัดการเข้าถึง

สามสถานการณ์ที่แต่ละแบบเหมาะ

สถานการณ์ที่ 1 เข้าถึงกล่องเก็บไฟล์ที่บ้านระหว่างเดินทาง ลินเก็บรูปครอบครัวไว้ในอุปกรณ์เก็บข้อมูลเครือข่ายที่บ้าน เธออยากเปิดดูจากโรงแรมโดยไม่ต้องเปิดพอร์ตบนเราเตอร์ให้ทั้งอินเทอร์เน็ตเห็น อุโมงค์ P2P ระหว่างแล็ปท็อปกับอุปกรณ์ที่บ้านเหมาะที่สุด ทราฟฟิกวิ่งตรงไปยังเครื่องของเธอเอง และไม่มีอะไรอื่นถูกเปิดเผย

สถานการณ์ที่ 2 ทำงานในร้านกาแฟ อรุณนั่งในคาเฟ่และเปิดเอกสารลูกค้าบน Wi-Fi ที่ใช้ร่วมกัน ปัญหาจริงคือเครือข่ายรอบตัวที่ไว้ใจไม่ได้ ไม่ใช่การเข้าถึงเครื่องใดเครื่องหนึ่ง VPN แบบเกตเวย์จึงเป็นรูปทรงที่ถูกต้อง เพราะห่อทุกอย่างที่ออกจากแล็ปท็อปไว้ในอุโมงค์เดียวไปยังเกตเวย์ ร้านกาแฟเห็นแค่ตัวอุโมงค์ คู่มือ ใช้ Wi-Fi สาธารณะให้ปลอดภัยขึ้น บอกนิสัยที่ควรทำคู่กัน

สถานการณ์ที่ 3 ออฟฟิศเล็กสองคน เหมยกับหุ้นส่วนต่างทำงานที่บ้าน แต่ใช้เครื่องพิมพ์และเซิร์ฟเวอร์ไฟล์ร่วมกันในห้องเช่าเล็ก ๆ mesh ทำให้แล็ปท็อปทั้งสองเข้าถึงห้องนั้นได้โดยตรง ถ้ายังต้องการความคุ้มครองเวลาไปคาเฟ่ ก็เพิ่ม VPN แบบเกตเวย์ซ้อนอีกชั้น และสองอย่างนี้ไม่ขัดกัน

จะเห็นว่าไม่มีกรณีไหนที่ให้การออกแบบหนึ่งไปทำงานของอีกแบบ

P2P VPN อีกความหมาย บริการที่ใช้การเชื่อมต่อของผู้อื่นเป็นทางออก

บางบริการที่ฟรีหรือถูกมากใช้ข้อตกลงอีกแบบ แทนที่จะมีเกตเวย์ของตัวเอง พวกเขาให้ผู้ใช้ทั่วไปส่งทราฟฟิกผ่านอุปกรณ์ของกันและกัน คุณได้สิทธิ์ใช้งานแลกกับการยอมให้การเชื่อมต่อของคุณเป็นจุดออกของคนอื่น

ควรเตือนให้ชัดเจน

• ทราฟฟิกของคนแปลกหน้าออกจาก IP บ้านของคุณ ถ้ามีการกระทำที่ไม่เหมาะสม ร่องรอยอาจโยงมาถึงการเชื่อมต่อของคุณ
• อุปกรณ์ของคุณใช้แบนด์วิดท์ แบตเตอรี่ และโควตาข้อมูลเพื่อทราฟฟิกของคนอื่น
• เมื่อคุณใช้เครือข่ายเดียวกัน คุณกำลังไว้ใจบุคคลที่ไม่รู้จักกับทราฟฟิกของตัวเอง และตรวจสอบได้ยากว่าเขาทำอะไรกับมัน

นี่ไม่ใช่สถาปัตยกรรมที่อธิบายในส่วนอื่นของบทความ และไม่เหมาะกับคนที่ต้องการความเป็นส่วนตัวแบบตรงไปตรงมา ภาพรวมเรื่อง ความปลอดภัยของ VPN ฟรี รวบรวมสัญญาณเตือนที่เกี่ยวข้อง หากเห็นข้อความทำนอง "อุปกรณ์ของคุณช่วยขับเคลื่อนเครือข่าย" ให้อ่านข้อกำหนดก่อนติดตั้ง

เลือกระหว่างสองแบบ

ลองถามตัวเองตามลำดับนี้

1. คุณต้องการเข้าถึงอะไรกันแน่ อุปกรณ์ของตัวเอง หรืออินเทอร์เน็ตทั่วไป
2. เครือข่ายรอบตัวไว้ใจได้หรือไม่ คาเฟ่ โรงแรม สนามบิน และอาคารที่ใช้เน็ตร่วมกัน ชี้ไปที่ VPN แบบเกตเวย์
3. อยากหลีกเลี่ยงการเปิดพอร์ตบนเราเตอร์ที่บ้านหรือไม่ ถ้าใช่ ให้ดู mesh ที่มี NAT traversal
4. มีอุปกรณ์กี่เครื่อง และอยากจัดการกุญแจเองไหม mesh เบาสำหรับสองถึงสามเครื่อง แต่จัดการยากขึ้นเมื่อมากกว่านั้น เว้นแต่มีเครื่องมือช่วยจัดการให้
5. คุณจะดูแลต่อเองไหวหรือไม่ mesh ที่ตั้งเองต้องอัปเดตและเอาใจใส่ ส่วนแพ็กเกจแบบเติมเงินของผู้ให้บริการไม่ต้องดูแลเอง แต่คุณพึ่งผู้ให้บริการ ข้อดีข้อเสียอยู่ใน VPN ที่ตั้งเองกับ VPN เชิงพาณิชย์

หลายคนจบด้วยการใช้ทั้งสองอย่าง คือ mesh สำหรับอุปกรณ์ของตัวเอง และ VPN แบบเกตเวย์สำหรับเครือข่ายสาธารณะ

ข้อผิดพลาดที่พบบ่อยและข้อจำกัด

• คาดว่า mesh จะเปลี่ยน IP สาธารณะของคุณ มันไม่เปลี่ยน เว้นแต่ตั้งเครื่องหนึ่งให้เป็นจุดออกโดยเจตนา
• ปล่อยอุปกรณ์เก่ายังอยู่ในรายการอนุมัติ ควรลบอุปกรณ์ที่ไม่ได้ใช้แล้ว กุญแจที่ถูกลืมเหมือนเชิญคนเข้าบ้านถาวร
• อนุญาตให้ทุกเครื่องเข้าถึงทุกเครื่อง เริ่มจากกฎแคบ ๆ แล้วเปิดเพิ่มเฉพาะที่ต้องใช้
• คิดว่า "เชื่อมตรง" แปลว่า "เร็วกว่า" เสมอ เส้นทางตรงช่วยลดทางอ้อม แต่ยังถูกจำกัดด้วยความเร็วอินเทอร์เน็ตของทั้งสองฝั่ง
• สับสนความหมายของ P2P สถาปัตยกรรมเชื่อมตรง การแชร์ไฟล์ และบริการยืมการเชื่อมต่อของผู้อื่น เป็นสามเรื่องที่ต่างกัน
• คิดว่าการเข้ารหัสคือทั้งหมด เมทาดาตา ความปลอดภัยของอุปกรณ์ และการดูแลบัญชียังสำคัญอยู่

สำหรับการเตือนใจกว้าง ๆ ว่าอุโมงค์ไม่ครอบคลุมอะไร ดู สิ่งที่ VPN ปกป้องคุณไม่ได้

ตัวอย่างเช็กลิสต์ก่อนตัดสินใจ

หากกำลังจะเลือกเครื่องมือจริง ลองไล่รายการสั้น ๆ นี้ทีละข้อ โดยจดคำตอบลงกระดาษสักแผ่น

• เขียนรายชื่ออุปกรณ์ที่ต้องการให้คุยกันเอง พร้อมบอกว่าแต่ละเครื่องอยู่ที่ไหน บ้าน ที่ทำงาน หรือพกติดตัว
• เขียนว่าในแต่ละวันคุณใช้เครือข่ายใดบ้างที่ไม่ใช่ของตัวเอง ถ้ามีหลายแห่ง ให้ถือว่าต้องมีการป้องกันแบบเกตเวย์ด้วย
• ตรวจว่าอินเทอร์เน็ตที่บ้านได้ IP สาธารณะของตัวเองหรือแชร์กับผู้อื่น เพราะมีผลต่อการสร้างเส้นทางตรง
• ตัดสินใจว่าใครมีสิทธิ์อนุมัติหรือถอดอุปกรณ์ออกจากวง ถ้าเป็นครอบครัวหรือทีมเล็ก ควรมีคนรับผิดชอบเพียงหนึ่งคน
• ตั้งนัดทบทวนรายการอุปกรณ์ทุกสามถึงหกเดือน เพื่อลบเครื่องเก่าที่ไม่ได้ใช้แล้ว
• ทดสอบก่อนใช้จริง เช่น ลองเชื่อมจากเครือข่ายมือถือ และจากร้านกาแฟ แล้วเทียบความเร็วกับเมื่อเชื่อมจากในบ้าน

การเขียนออกมาช่วยให้เห็นว่าความต้องการจริงของคุณเป็นแบบไหน หลายครั้งพบว่าต้องการแค่การป้องกันบน Wi-Fi สาธารณะ ซึ่งไม่จำเป็นต้องสร้าง mesh เลย

สรุป

สถาปัตยกรรม P2P VPN เชื่อมอุปกรณ์เข้าหากันโดยตรง ใช้บริการประสานงานเล็ก ๆ ช่วยแนะนำให้รู้จักกัน และถอยไปใช้รีเลย์เมื่อเราเตอร์ขวางทาง ส่วน VPN เชิงพาณิชย์ส่งทราฟฟิกผ่านเกตเวย์ของผู้ให้บริการ ซึ่งช่วยปกป้องเมื่ออยู่บนเครือข่ายที่ไว้ใจไม่ได้ และทำให้เว็บไซต์เห็น IP สาธารณะของเกตเวย์ ทั้งสองแก้ปัญหาต่างกัน คือการเข้าถึงอุปกรณ์ของตัวเองกับการป้องกันทราฟฟิกบนเครือข่ายที่คุณควบคุมไม่ได้ เลือกตามงานที่ต้องทำ สังเกตว่าความไว้ใจอยู่ตรงไหน และลบอุปกรณ์ที่ไม่ใช้แล้วออกเสมอ

ถ้าแพ็กเกจเติมเงินแบบเกตเวย์ที่เรียบง่ายเหมาะกับชีวิตการเดินทางและการนั่งทำงานตามคาเฟ่ของคุณ ก็ดูได้ที่หน้าราคา ตามสะดวก