Port Forwarding กับ VPN คืออะไร ใช้ทำอะไร และเสี่ยงอย่างไร

โดยทั่วไปคุณไม่ต้องนึกถึงพอร์ตเลย คุณเปิดหน้าเว็บ โทรศัพท์เริ่มการเชื่อมต่อ คำตอบกลับมา และทุกอย่างใช้งานได้ แต่แล้ววันหนึ่งคุณอยากทำอะไรที่ต่างออกไป เช่น เปิดเซิร์ฟเวอร์เกมให้เพื่อนเล่น เข้าถึงไฟล์ในคอมพิวเตอร์ที่บ้านตอนอยู่นอกบ้าน หรืออยากให้แอปแบบ Peer-to-Peer เชื่อมต่อได้ดีขึ้น คู่มือต่าง ๆ บอกให้ Forward Port และเมื่อเพิ่ม VPN เข้ามา ดูเหมือนทุกอย่างจะพังไปหมด

บทความนี้อธิบายว่า Port Forwarding คืออะไร VPN เปลี่ยนพฤติกรรมของมันอย่างไร คนใช้ทำอะไรโดยชอบธรรม และที่สำคัญคือพอร์ตที่เปิดไว้อาจทำให้อะไรเสี่ยงบ้าง เนื้อหาเป็นการให้ความรู้เท่านั้น ไม่ได้อ้างว่า VPN รายใดมี Port Forwarding และไม่ได้แนะนำว่าควรซื้ออะไร หากยังไม่แน่ใจว่า VPN ทำงานอย่างไร เริ่มจากVPN ทำงานอย่างไร

พอร์ตและที่อยู่ ในภาษาง่าย ๆ

ลองนึกว่าที่อยู่ IP คือที่อยู่บ้านเลขที่ของอาคาร และพอร์ตคือหมายเลขของประตูแต่ละบาน อุปกรณ์หนึ่งเครื่องรันบริการได้หลายอย่างพร้อมกัน เช่น เว็บเซิร์ฟเวอร์ เซิร์ฟเวอร์เกม หรือโปรแกรมแชร์ไฟล์ และแต่ละบริการรอฟังที่หมายเลขพอร์ตของตัวเอง ตั้งแต่ 1 ถึง 65535 การเชื่อมต่อมีสองปลายเสมอ และแต่ละปลายมีทั้งที่อยู่และพอร์ต

แนวคิดอีกสองข้อช่วยให้เข้าใจง่ายขึ้น

• ที่อยู่สาธารณะและที่อยู่ส่วนตัว อุปกรณ์ในบ้านมักมีที่อยู่ส่วนตัวตามที่กำหนดใน RFC 1918 เช่น 192.168.1.20 ซึ่งเข้าถึงจากอินเทอร์เน็ตโดยตรงไม่ได้ เราเตอร์ของคุณมีที่อยู่สาธารณะหนึ่งที่หันออกสู่โลกภายนอก ดูพื้นหลังได้ในที่อยู่ IP สาธารณะคืออะไร
• NAT (การแปลงที่อยู่เครือข่าย) เราเตอร์ให้อุปกรณ์ส่วนตัวหลายเครื่องใช้ที่อยู่สาธารณะร่วมกัน เมื่อแล็ปท็อปเปิดการเชื่อมต่อ เราเตอร์จะจำไว้และส่งคำตอบกลับไปยังแล็ปท็อปเครื่องที่ถูกต้อง ความจำนี้คือเหตุผลที่อุปกรณ์ของคุณท่องเว็บได้อย่างอิสระ

Port Forwarding ทำอะไร

NAT ใช้ได้ดีกับการเชื่อมต่อที่อุปกรณ์ของคุณเป็นฝ่ายเริ่ม แต่จะมีปัญหาเมื่อคนภายนอกต้องการเริ่มเชื่อมต่อเข้ามาหาคุณ เพราะเราเตอร์ไม่มีบันทึกของบทสนทนานั้นและไม่รู้ว่าข้อมูลนั้นเป็นของอุปกรณ์ส่วนตัวเครื่องไหน โดยปกติจึงทิ้งข้อมูลนั้น

Port Forwarding คือกฎที่อุดช่องว่างนั้น มันบอกว่า เช่น "เมื่อมีการเชื่อมต่อมาที่ที่อยู่สาธารณะของฉันบนพอร์ต 25565 ให้ส่งไปยังอุปกรณ์ที่ 192.168.1.20" ตอนนี้โลกภายนอกมีประตูไปยังอุปกรณ์เครื่องนั้นเครื่องเดียว

เมื่อไม่มี Forwarding	เมื่อมี Forwarding
อุปกรณ์ของคุณเริ่มการเชื่อมต่อทุกครั้ง	คนภายนอกเริ่มการเชื่อมต่อเข้ามาหาอุปกรณ์ที่เลือกบนพอร์ตที่เลือกได้ด้วย
ข้อมูลขาเข้าที่ไม่มีใครร้องขอถูกทิ้ง	ข้อมูลขาเข้าบนพอร์ตนั้นเข้าถึงอุปกรณ์
โฮสต์บริการได้ยาก	บริการบนอุปกรณ์ของคุณถูกเข้าถึงจากภายนอกได้
การเปิดเผยน้อย	บริการบนพอร์ตนั้นถูกเปิดสู่อินเทอร์เน็ตทั้งโลก

คนใช้ทำอะไรบ้าง

มีเหตุผลมากมาย และส่วนใหญ่เป็นเรื่องธรรมดา

• โฮสต์เซิร์ฟเวอร์เกม ให้เพื่อน ๆ โดยโปรแกรมเกมของเพื่อนต้องเริ่มเชื่อมต่อเข้ามาที่เครื่องของคุณ
• เข้าถึงจากระยะไกล ไปยังไฟล์ของคุณเอง มีเดียเซิร์ฟเวอร์ที่บ้าน หรือกล้องวงจรปิดขณะอยู่นอกบ้าน
• โฮสต์เอง (Self-hosting) เว็บไซต์ขนาดเล็ก เซิร์ฟเวอร์จดโน้ต หรือศูนย์ควบคุมบ้านอัจฉริยะ
• แอปแบบ Peer-to-Peer สำหรับไฟล์ที่ถูกกฎหมาย ซึ่งการเข้าถึงได้จากภายนอกอาจช่วยให้เชื่อมต่อกับคู่สนทนาได้มากขึ้น
• เครื่องมือเสียงและวิดีโอ ที่ทำงานได้ดีกว่าเมื่อเชื่อมต่อโดยตรง

หากเป้าหมายของคุณเพียงแค่เข้าถึงอุปกรณ์ของตัวเองอย่างปลอดภัย มักมีวิธีออกแบบที่ดีกว่าการเปิดพอร์ตสู่อินเทอร์เน็ตทั้งโลก ซึ่งจะกล่าวถึงต่อไปในบทความนี้

VPN เปลี่ยนอะไร

เมื่อเปิด VPN แล้ว Port Forwarding ยังใช้ได้หรือไม่ ขึ้นอยู่กับว่ากฎอยู่ที่ไหนและข้อมูลของคุณออกจากเครือข่ายที่จุดไหน

1. Forward ที่เราเตอร์บ้าน และไม่เปิด VPN

นี่คือกรณีคลาสสิก เราเตอร์มีที่อยู่สาธารณะ คุณเพิ่มกฎ และคนภายนอกเข้าถึงอุปกรณ์ได้ ใช้ได้ตราบใดที่ผู้ให้บริการอินเทอร์เน็ตให้ที่อยู่สาธารณะที่ใช้งานได้ ผู้ให้บริการบางรายจัดให้ลูกค้าหลายรายอยู่หลังที่อยู่ร่วมกัน (Carrier-grade NAT) ซึ่งในกรณีนั้นเราเตอร์ของคุณไม่มีที่อยู่สาธารณะของตัวเองให้ Forward

2. Forward ที่เราเตอร์บ้าน และเปิด VPN ที่อุปกรณ์

เมื่อเปิด VPN อุปกรณ์จะส่งคำตอบกลับผ่านอุโมงค์ ทำให้ออกจากที่อยู่ของเซิร์ฟเวอร์ VPN แทนที่อยู่บ้านของคุณ ผู้ที่เชื่อมต่อมาที่ที่อยู่บ้านของคุณส่งคำขอเข้ามา แต่คำตอบกลับมาจากที่อยู่ต่างออกไป การเชื่อมต่อจึงมักล้มเหลว กฎบนเราเตอร์ถูกต้อง แต่ปัญหาคือคำตอบเดินทางคนละเส้นทาง ความไม่ตรงกันนี้เป็นต้นเหตุที่ทำให้สับสนบ่อย

3. เปิด VPN บนเราเตอร์

หากตั้ง VPN ที่ตัวเราเตอร์ ข้อมูลทั้งหมดในบ้านจะออกผ่านเซิร์ฟเวอร์ VPN ที่อยู่ด้านสาธารณะของเราเตอร์จึงกลายเป็นที่อยู่ของเซิร์ฟเวอร์ กฎ Forward บนเราเตอร์ของคุณไม่มีอะไรให้ Forward เพราะคนภายนอกไม่ได้เชื่อมต่อมาที่เราเตอร์ของคุณแล้ว

4. ฟีเจอร์ Forward จากฝั่ง VPN

บริการ VPN บางรายกำหนดพอร์ตที่ Forward ให้ ซึ่งเปิดบนที่อยู่สาธารณะของเซิร์ฟเวอร์และส่งต่อมายังอุปกรณ์ของคุณผ่านอุโมงค์ ไม่ใช่ทุกบริการที่มี และบริการที่มีมักให้หมายเลขพอร์ตที่คุณเลือกเองไม่ได้และอาจเปลี่ยนไป อย่าสันนิษฐานว่าบริการของคุณมี ให้ดูว่า Pass ของคุณมีอะไรบ้าง สำหรับลูกค้า XPASS วิธีเชื่อมต่อและคำแนะนำการตั้งค่าอยู่ในหน้า My Pass และบทความนี้ไม่ได้อ้างว่ามี Port Forwarding

5. ใช้ VPN ในทิศทางตรงข้าม

แทนที่จะเปิดพอร์ต คุณสามารถสร้างเครือข่ายส่วนตัวของตัวเอง เซิร์ฟเวอร์ VPN ที่บ้านช่วยให้คุณเชื่อมต่อเข้าเครือข่ายบ้านจากภายนอกพร้อมการยืนยันตัวตน และเข้าถึงสิ่งที่ต้องการโดยไม่ต้องเปิดอะไรสู่อินเทอร์เน็ตทั้งหมด นี่คือแนวคิดเบื้องหลังการตั้งค่าเข้าถึงระยะไกลจำนวนมาก และคู่มือ NIST เรื่องความปลอดภัยของการทำงานระยะไกลและการเข้าถึงระยะไกลพูดถึงหลักการกว้าง ๆ ของการจำกัดสิ่งที่เปิดเผย

ความเสี่ยงของพอร์ตที่เปิดไว้

พอร์ตที่เปิดไว้คือประตูบนอินเทอร์เน็ต ใครก็ตาม รวมถึงเครื่องมือสแกนอัตโนมัติ สามารถมาเคาะได้

• การสแกนอัตโนมัติ เครื่องมือสแกนทั่วอินเทอร์เน็ตตรวจสอบพื้นที่ที่อยู่ทั้งหมดอย่างต่อเนื่อง พอร์ตที่เพิ่งเปิดมักถูกพบภายในไม่กี่ชั่วโมง บางครั้งเป็นนาที
• ซอฟต์แวร์ที่มีช่องโหว่ หากบริการด้านหลังพอร์ตมีบั๊กที่ยังไม่แก้ ผู้โจมตีอาจใช้สั่งรันคำสั่งหรืออ่านข้อมูลได้
• การยืนยันตัวตนที่อ่อนแอ รหัสผ่านค่าเริ่มต้น รหัสผ่านสั้น และบริการที่ไม่มีการล็อกอินเลยถูกเดาได้เร็ว การยืนยันตัวตนหลายขั้นตอนช่วยได้มากเมื่อมีให้ใช้ ดูMore than a Passwordของ CISA
• ทางเข้าสู่เครือข่ายส่วนที่เหลือ อุปกรณ์ที่ถูกเจาะในเครือข่ายของคุณถูกใช้เป็นฐานก้าวต่อไปยังคอมพิวเตอร์ กล้อง และไฟล์ของคุณได้
• ข้อมูลรั่วไหล Remote Desktop การแชร์ไฟล์ และฐานข้อมูลที่เปิดสู่อินเทอร์เน็ตเป็นบริการที่ถูกโจมตีบ่อยที่สุดกลุ่มหนึ่ง
• ความมั่นใจผิด ๆ จาก VPN VPN ไม่ได้ทำให้บริการที่เปิดไว้ปลอดภัย หากบริการหลังพอร์ตที่เปิดไว้อ่อนแอ VPN ไม่ได้ปกป้องมัน บทความเรื่องสิ่งที่ VPN ปกป้องคุณไม่ได้พูดถึงข้อจำกัดแบบนี้

พอร์ตความเสี่ยงสูงและต่ำ

ประเภทบริการ	ความเสี่ยงหากเปิดตรง ๆ	แนวทางที่ดีกว่า
Remote Desktop การแชร์ไฟล์ ฐานข้อมูล	สูง	อย่าเปิด ให้เข้าผ่าน VPN เข้าเครือข่ายบ้านแทน
หน้าแอดมินของเราเตอร์และกล้อง	สูง	เก็บไว้ใช้ภายในเท่านั้น
เซิร์ฟเวอร์เกม	ปานกลาง	อัปเดตซอฟต์แวร์ ใช้เครื่องแยก และจำกัดคนที่รู้ที่อยู่
เว็บที่โฮสต์เอง	ปานกลาง	ใช้ HTTPS อัปเดต ล็อกอินที่แข็งแรง และการยืนยันตัวตนหลายขั้นตอน
แอป Peer-to-Peer	ปานกลาง	อัปเดตแอปอยู่เสมอ และรันบนเครื่องแยกหากเป็นไปได้

วิธีที่ปลอดภัยกว่าในการเข้าถึงอุปกรณ์ของคุณ

ก่อนเปิดพอร์ต ให้ถามตัวเองว่าจำเป็นจริงหรือไม่ มักมีวิธีอื่นที่ทำให้ได้ผลเดียวกัน

1. VPN เข้าเครือข่ายบ้าน รันเซิร์ฟเวอร์ VPN ที่บ้านหรือบนเราเตอร์ แล้วเชื่อมต่อเข้ามาจากภายนอก จะเปิดเผยเฉพาะพอร์ตของ VPN ที่ป้องกันด้วยกุญแจหรือข้อมูลล็อกอินที่แข็งแรง
2. บริการรีเลย์หรืออุโมงค์ เครื่องมือบางอย่างให้อุปกรณ์ของคุณเชื่อมต่อขาออกไปยังรีเลย์ คนภายนอกจึงเข้าถึงรีเลย์ ไม่ใช่เราเตอร์ของคุณ วิธีนี้เลี่ยงการเปิดพอร์ตขาเข้า แต่คุณต้องไว้ใจรีเลย์นั้น
3. ฟีเจอร์ระยะไกลในตัวจากผู้ผลิตอุปกรณ์ อุปกรณ์เก็บข้อมูลบนเครือข่ายและกล้องจำนวนมากมีบริการเข้าถึงระยะไกลแบบมีผู้จัดการ จึงไม่ต้องแตะเราเตอร์
4. แชร์ไฟล์ด้วยวิธีอื่น หากเหตุผลคือการส่งไฟล์ ลิงก์แชร์บนคลาวด์หรือการโอนแบบเข้ารหัสอาจง่ายกว่าการโฮสต์เอง
5. ใช้ Split Tunneling อย่างรอบคอบ หากต้องการใช้ VPN กับบางแอปและการเชื่อมต่อตรงกับแอปอื่น Split Tunnelingให้คุณเลือกได้ ซึ่งมีผลต่อแอปไหนที่เข้าถึงได้จากภายนอก

เช็กลิสต์ที่ปลอดภัยกว่า หากต้องเปิดพอร์ตจริง

• Forward เฉพาะพอร์ตที่จำเป็นพอดี ไปยังอุปกรณ์เครื่องเดียว ไม่ใช่ทั้งช่วงพอร์ต
• วางอุปกรณ์ไว้ในเครือข่ายแยกหรือเครือข่ายแขก ห่างจากคอมพิวเตอร์ที่มีข้อมูลส่วนตัว
• อัปเดตบริการและระบบปฏิบัติการก่อนเปิดอะไรก็ตาม
• เปลี่ยนรหัสผ่านค่าเริ่มต้นเป็นรหัสที่ยาวและไม่ซ้ำ และใช้การยืนยันตัวตนหลายขั้นตอนเมื่อเป็นไปได้
• ไม่เปิด Remote Desktop การแชร์ไฟล์ หรือฐานข้อมูลตรง ๆ
• ปิด UPnP บนเราเตอร์หากไม่จำเป็น เพราะมันให้ซอฟต์แวร์เปิดพอร์ตได้โดยไม่ถามคุณ
• ตรวจรายการ Forward ของเราเตอร์ทุกสองสามเดือนและลบกฎเก่าออก
• ตรวจล็อกและพร้อมปิดกฎทันทีหากเห็นสิ่งผิดปกติ
• ใช้ไฟร์วอลล์บนตัวอุปกรณ์เป็นชั้นป้องกันที่สอง

เมื่อเปรียบเทียบบริการ ควรดูอะไร

หากค้นหา "VPN รองรับ Port Forwarding ที่ดีที่สุด" คุณจะเจออันดับที่ส่วนใหญ่เป็นการตลาด แทนที่จะไล่ตามชื่อ ให้ถามคำถามที่เป็นรูปธรรมกับบริการใดก็ตาม

• บริการระบุชัดเจนหรือไม่ว่ามี Port Forwarding หากไม่ได้เขียนไว้ในเอกสารของบริการเอง อย่าสันนิษฐาน
• ครอบคลุมอุปกรณ์และแพ็กเกจไหนบ้าง และกำหนดพอร์ตอย่างไร พอร์ตแบบคงที่ สุ่ม หรือเปลี่ยนไปมา ทำงานต่างกัน
• ใช้ได้กับวิธีที่คุณวางแผนจะเชื่อมต่อหรือไม่ บางฟีเจอร์มีเฉพาะบางแอปหรือบางวิธีเชื่อมต่อ
• บริการอธิบายความปลอดภัยของพอร์ตที่ Forward อย่างไร คำอธิบายที่ดีพูดถึงความเสี่ยงด้วย ไม่ใช่เฉพาะประโยชน์
• มีวิธีที่ง่ายกว่าหรือไม่ หากต้องการเข้าถึงอุปกรณ์ของตัวเองเท่านั้น VPN เข้าเครือข่ายบ้านอาจดีกว่าฟีเจอร์ใด ๆ ของผู้ให้บริการ

ข้อจำกัดและสิ่งที่ควรระวัง

• ไม่ใช่ทุกการเชื่อมต่อจะ Forward ได้ หากผู้ให้บริการอินเทอร์เน็ตใช้ Carrier-grade NAT คุณอาจไม่มีที่อยู่สาธารณะให้ Forward เลย
• การ Forward บนเซิร์ฟเวอร์ VPN เป็นการใช้ร่วมกัน พอร์ตบนที่อยู่ของเซิร์ฟเวอร์ที่ใช้ร่วมกันเปิดให้ทั้งอินเทอร์เน็ตเข้าถึง ไม่ใช่เฉพาะเพื่อนของคุณ
• กฎเปลี่ยนได้ บางบริการเปลี่ยนพอร์ต และเกมหรือแอปที่เมื่อวานใช้ได้อาจเข้าถึงคุณไม่ได้หลังที่อยู่เปลี่ยน
• VPN ไม่ใช่ไฟร์วอลล์ มันเข้ารหัสและเปลี่ยนเส้นทางข้อมูลของคุณ แต่ไม่หยุดการโจมตีบริการที่คุณตั้งใจเปิดเผย
• ข้อกำหนดการใช้งานสำคัญ บางบริการจำกัดการโฮสต์หรือข้อมูลบางประเภท ควรอ่านข้อกำหนดของทุกเครือข่ายที่ใช้และปฏิบัติตาม

สรุป

Port Forwarding คือกฎที่ให้คนภายนอกเริ่มการเชื่อมต่อเข้ามาหาอุปกรณ์เครื่องหนึ่งหลังเราเตอร์ VPN เปลี่ยนว่าใครเป็นเจ้าของที่อยู่สาธารณะ จึงเปลี่ยนวิธีหรือแม้แต่ความเป็นไปได้ของการ Forward การใช้ VPN ในชีวิตประจำวันส่วนใหญ่ไม่ต้องมี Forwarding เลย เมื่อจำเป็นต้องให้เข้าถึงได้จากภายนอก VPN เข้าเครือข่ายของคุณเองมักปลอดภัยกว่าพอร์ตสาธารณะที่เปิดทิ้งไว้ หากต้องเปิดพอร์ตจริง ให้เปิดให้น้อยที่สุด อัปเดตซอฟต์แวร์เสมอ และป้องกันด้วยการยืนยันตัวตนที่แข็งแรง

หากคุณกำลังคิดถึง VPN เพื่อป้องกันในชีวิตประจำวันบนเครือข่ายที่ควบคุมไม่ได้ หน้าราคาอธิบายวิธีการทำงานของ Pass แบบเติมเงินล่วงหน้า และศูนย์ช่วยเหลือครอบคลุมการตั้งค่าบนอุปกรณ์แต่ละประเภท