เปิด Port Forwarding ผ่าน VPN มีข้อดีและความเสี่ยงอะไร

สิ่งที่คุณทำออนไลน์ส่วนใหญ่เป็นการเชื่อมต่อขาออก อุปกรณ์ของคุณขอหน้าเว็บจากเว็บไซต์ และคำตอบกลับมาตามการเชื่อมต่อเดียวกัน Port Forwarding ต่างออกไป มันทำให้คนแปลกหน้าบนอินเทอร์เน็ตเริ่มต้นการเชื่อมต่อมายังอุปกรณ์ของคุณได้ เมื่อคนถามเรื่องการส่งต่อพอร์ตผ่าน VPN มักมีเหตุผลที่ดี เช่น เปิดห้องเล่นเกม ใช้โปรแกรมแชร์ไฟล์ที่ทำงานได้ดีขึ้นเมื่อรับการเชื่อมต่อขาเข้า หรือเข้าถึงเซิร์ฟเวอร์ที่บ้าน แต่ฟีเจอร์เดียวกันนี้ก็เป็นหนึ่งในวิธีที่เร็วที่สุดในการสร้างปัญหาด้านความปลอดภัย

บทความนี้มอง Port Forwarding ผ่าน VPN จากมุมความเสี่ยง ประโยชน์ที่แท้จริงคืออะไร มันเปิดเผยอะไร ผู้โจมตีหาพอร์ตที่เปิดอยู่ได้อย่างไร และวิธีที่ใช้ได้จริงในการรักษาการเปิดเผยให้น้อยที่สุด สำหรับนิยามพื้นฐานของ Port Forwarding และวิธีทำงานร่วมกับ VPN ให้ดู Port Forwarding ใน VPN อธิบาย และสำหรับการตั้งค่าบนเราเตอร์บ้านให้ดู Port Forwarding บนเราเตอร์กับ VPN บทความนี้ไม่เล่าซ้ำเรื่องเหล่านั้น แต่พูดถึงว่าควรเสี่ยงหรือไม่ และเสี่ยงอย่างไร

พอร์ตที่ส่งต่อทำอะไร

พอร์ตคือประตูที่มีหมายเลขบนอุปกรณ์ บริการต่าง ๆ รอรับที่พอร์ตเฉพาะ เว็บเซิร์ฟเวอร์ที่ 80 และ 443 รีโมตเดสก์ท็อปที่ 3389 เป็นต้น โดยปกติเครือข่ายบ้านอยู่หลังเราเตอร์ที่ทำ NAT การเชื่อมต่อขาออกถูกติดตามไว้ ส่วนการเชื่อมต่อขาเข้าที่ไม่มีใครร้องขอถูกทิ้ง เพราะเราเตอร์ไม่รู้ว่าควรส่งไปยังอุปกรณ์ใด

Port Forwarding เพิ่มกฎหนึ่งข้อ "สิ่งใดที่มาถึงพอร์ต X บนที่อยู่สาธารณะ ให้ส่งไปยังอุปกรณ์ Y พอร์ต Z" ตอนนี้การเชื่อมต่อจากอินเทอร์เน็ตที่ไม่มีใครร้องขอไปถึงอุปกรณ์นั้นโดยตั้งใจ

เมื่อคุณใช้ VPN ที่อยู่สาธารณะเป็นของเซิร์ฟเวอร์ VPN ไม่ใช่ของเราเตอร์ที่บ้าน ไฟร์วอลล์ฝั่งบริการ VPN เป็นผู้ตัดสินว่าใครเข้าถึงคุณได้ ผู้ให้บริการบางรายมีฟีเจอร์ส่งต่อหนึ่งพอร์ตที่เลือกไปยังที่อยู่อุโมงค์ของคุณ และหลายรายไม่มี หากไม่มีฟีเจอร์นี้ แอปอาจถอยไปใช้การเชื่อมต่อขาออกอย่างเดียว ซึ่งใช้ได้กับการใช้งานส่วนใหญ่ บทความนี้เป็นข้อมูลทั่วไปและไม่ได้อธิบายผู้ให้บริการรายใดโดยเฉพาะ

ประโยชน์ที่แท้จริง

การส่งต่อพอร์ตแก้ปัญหาชุดแคบ ๆ

• การเป็นเจ้าบ้าน ห้องเล่นเกม บริการเว็บเล็ก ๆ หรือเซิร์ฟเวอร์สนทนาเสียงบนคอมพิวเตอร์ของคุณเองต้องการการเชื่อมต่อขาเข้า
• เครื่องมือ peer-to-peer แอปแชร์ไฟล์และซิงก์บางตัวเชื่อมต่อได้เสถียรกว่าเมื่อคนอื่นเข้าถึงคุณได้โดยตรง การใช้ที่ชอบธรรมได้แก่ การแชร์ไฟล์ของตัวเองระหว่างอุปกรณ์ของตัวเอง หรือการแชร์สื่อที่มีสัญญาอนุญาตแบบเปิด
• การเข้าถึงอุปกรณ์ของตัวเองจากระยะไกล กล้องในบ้าน มีเดียเซิร์ฟเวอร์ หรือ NAS อาจเข้าถึงจากภายนอกผ่านพอร์ตที่ส่งต่อ
• การข้าม NAT ซ้อนหรือ CGNAT หากการเชื่อมต่อที่บ้านอยู่หลังที่อยู่ที่ใช้ร่วมกันของผู้ให้บริการ การเชื่อมต่อขาเข้าเป็นไปไม่ได้หากไม่มีตัวช่วย ดู VPN กับ CGNAT เพื่อดูว่าสถานการณ์นั้นทำงานอย่างไร
• ประเภทการเชื่อมต่อที่ดีขึ้นสำหรับเกม เกมออนไลน์บางเกมรายงานประเภทการเชื่อมต่อแบบ "เปิด" หรือ "เข้มงวด" ขึ้นกับว่าการเชื่อมต่อขาเข้าทำงานหรือไม่ บทความเรื่อง VPN กับ NAT type อธิบายผลดังกล่าว

ประโยชน์จะเจาะจงกับแอปหนึ่งเสมอ ถ้าคุณบอกชื่อแอปที่ต้องการพอร์ตนั้นไม่ได้ แปลว่าคุณไม่ต้องการมัน

มันเปิดเผยอะไร

การส่งต่อพอร์ตหมายความว่า บริการที่อยู่หลังพอร์ตนั้นเข้าถึงได้จากคอมพิวเตอร์เครื่องใดก็ได้บนอินเทอร์เน็ต ไม่ใช่เฉพาะคุณ ซึ่งเปลี่ยนภาพความปลอดภัยหลายด้าน

สิ่งที่เปิดเผย	ความหมาย
การสแกน	เครื่องมืออัตโนมัติกวาดอินเทอร์เน็ตทั้งโลกเพื่อหาพอร์ตที่เปิดภายในไม่กี่นาทีหลังพอร์ตเปิด
ช่องโหว่ที่รู้จัก	บริการที่ล้าสมัยอาจมีช่องโหว่ที่เผยแพร่แล้ว ซึ่งเครื่องมือสแกนทดสอบหา
รหัสผ่านอ่อน	หากบริการมีหน้าล็อกอิน บอตจะลองรหัสผ่านที่พบบ่อย
ข้อมูลรั่วไหล	แบนเนอร์และหน้าแสดงข้อผิดพลาดอาจเผยซอฟต์แวร์และเวอร์ชัน
การโจมตีให้ล่ม	ใครก็ท่วมพอร์ตที่เปิดด้วยการเชื่อมต่อได้
ฐานที่มั่น	บริการที่ถูกบุกรุกกลายเป็นก้าวแรกสู่อุปกรณ์อื่นในเครือข่ายบ้าน
ตัวตนของอุปกรณ์	บริการอาจเผยรายละเอียดของเครื่องที่อยู่เบื้องหลัง

สองข้อสุดท้ายคือสิ่งที่คนมักลืม VPN ปกป้องทราฟฟิกของการเชื่อมต่อขาออกที่คุณเริ่มเอง แต่ไม่ปกป้องบริการที่คุณตั้งใจเปิดให้โลกเห็น อุโมงค์ไม่ช่วยอะไรกับโปรแกรมที่มีช่องโหว่และตอบทุกคนที่มาเยือน

เปรียบเทียบความเสี่ยง: สิ่งที่คุณเปิดสำคัญที่สุด

บริการทั้งหมดไม่ได้เสี่ยงเท่ากัน แนวทางคร่าว ๆ

บริการหลังพอร์ต	ระดับความเสี่ยงโดยทั่วไป	หมายเหตุ
เซิร์ฟเวอร์เกมจากแพ็กเกจที่มีผู้ดูแล	ปานกลาง	อัปเดตอยู่เสมอ จำกัดฟีเจอร์ผู้ดูแล
โปรแกรมแชร์ไฟล์	ปานกลาง	เปิดเผยไฟล์ที่คุณแชร์และรูปแบบกิจกรรมของคุณให้เพียร์เห็น
เว็บเซิร์ฟเวอร์ที่เป็นหน้าคงที่	ปานกลางถึงสูง	ขึ้นกับซอฟต์แวร์และการอัปเดต
มีเดียเซิร์ฟเวอร์หรือกล้อง	สูง	มักมาพร้อมค่าเริ่มต้นที่อ่อนและแทบไม่ได้รับแพตช์
รีโมตเดสก์ท็อป	สูงมาก	เป้าหมายยอดนิยมของการเดารหัสผ่านและการโจมตี ควรเลี่ยงการเปิดตรง ๆ
ฐานข้อมูลหรือหน้าผู้ดูแล	สูงมาก	แทบไม่ควรเปิดให้ทั้งอินเทอร์เน็ตเห็น

หากบริการอยู่ในรายการ "สูงมาก" อย่าส่งต่อพอร์ตของมัน ให้ใช้วิธีเข้าถึงระยะไกลที่ปลอดภัยแทน เช่น เชื่อมต่อเข้าเครือข่ายส่วนตัวแล้วจึงเข้าถึงบริการภายใน

วิธีลดความเสี่ยง

รายการควบคุมสั้น ๆ ทำงานให้ส่วนใหญ่

1. ส่งต่อให้น้อยที่สุด หนึ่งพอร์ต หนึ่งบริการ หนึ่งอุปกรณ์ หลีกเลี่ยงช่วงพอร์ตกว้าง ๆ
2. ใช้บริการเฉพาะที่อัปเดตแล้ว ติดตั้งอัปเดตก่อนเปิดพอร์ต ถ้าการอัปเดตหยุดไปหลายปีแล้ว อย่าเปิดมัน
3. ข้อมูลล็อกอินที่แข็งแรงและไม่ซ้ำ ใช้รหัสผ่านยาวและการยืนยันตัวตนสองขั้นตอนหากบริการรองรับ ดู การยืนยันตัวตนสองขั้นตอนคืออะไร หากยังไม่คุ้น
4. แยกอุปกรณ์ออกมา วางอุปกรณ์ที่ส่งต่อพอร์ตไว้ในเครือข่ายส่วนที่แยกหรือเครือข่ายแขก เพื่อให้การถูกบุกรุกเข้าไม่ถึงแล็ปท็อปและโทรศัพท์ของครอบครัว
5. รันด้วยสิทธิ์ต่ำ บริการไม่ควรรันในฐานะผู้ดูแลระบบหรือ root
6. ใช้ไฟร์วอลล์บนอุปกรณ์ อนุญาตเฉพาะพอร์ตนั้นขาเข้า และบล็อกที่เหลือ ดูว่า VPN ต่างจากแอนติไวรัสและไฟร์วอลล์อย่างไร
7. ปิดเมื่อไม่ใช้ พอร์ตที่เปิดช่วงเย็นหนึ่งคืนเสี่ยงน้อยกว่าพอร์ตที่เปิดทั้งปีมาก
8. ดูบันทึก การล็อกอินล้มเหลวซ้ำ ๆ หรือการเชื่อมต่อผิดปกติ เป็นสัญญาณว่ามีคนกำลังสำรวจ
9. ทดสอบจากภายนอก ตรวจจากเครือข่ายอื่นว่ามีเฉพาะพอร์ตที่ตั้งใจเท่านั้นที่เข้าถึงได้

การตรวจง่าย ๆ ก่อนและหลังเปิดพอร์ต

ให้มองการเปิดพอร์ตเหมือนการเปิดหน้าต่างบ้าน ดูก่อนเปิด และตรวจหลังเปิด

ก่อนเปิด จดชื่อแอป หมายเลขพอร์ต โปรโตคอล (TCP หรือ UDP) และอุปกรณ์ที่จะรับทราฟฟิก ยืนยันว่าอุปกรณ์มีที่อยู่ภายในแบบคงที่ เพราะกฎส่งต่อที่ชี้ไปยังที่อยู่ซึ่งเปลี่ยนภายหลังจะส่งทราฟฟิกไปผิดเครื่อง ช่วงที่อยู่ส่วนตัวที่เครือข่ายบ้านใช้อธิบายไว้ใน RFC 1918 อัปเดตซอฟต์แวร์และเปลี่ยนรหัสผ่านค่าเริ่มต้นทั้งหมด ตัดสินใจล่วงหน้าว่าจะปิดพอร์ตเมื่อไร แล้วใส่วันนั้นไว้ในปฏิทิน

หลังเปิด จากเครือข่ายอื่น เช่น เน็ตมือถือ ยืนยันว่าพอร์ตเดียวที่คุณเปิดเข้าถึงได้ และไม่มีพอร์ตอื่นตอบสนอง ดูบันทึกของแอปตลอดวันแรก การพยายามเชื่อมต่อจำนวนมากจากที่อยู่ที่ไม่รู้จักเป็นเรื่องปกติสำหรับพอร์ตที่เปิดทุกพอร์ต ไม่ใช่สัญญาณว่าคุณถูกเล็งเป็นพิเศษ แต่การล็อกอินล้มเหลวซ้ำ ๆ ควรทำให้คุณเปลี่ยนรหัสผ่านที่แข็งแรงขึ้นหรือปิดพอร์ต

ล้างให้เรียบร้อย เมื่องานเสร็จ ให้ลบกฎส่งต่อ ไม่ใช่แค่ปิดแอป กฎที่ถูกทิ้งไว้อาจชี้ไปยังโปรแกรมอื่นที่เริ่มรอรับพอร์ตเดียวกันในภายหลัง และการเปิดเผยจะกลับมาโดยไม่มีใครสังเกต

จำไว้ว่าในหลายการตั้งค่า พอร์ตที่ส่งต่อครอบคลุมเฉพาะ IPv4 หากอุปกรณ์ของคุณมีที่อยู่ IPv6 ด้วย กฎไฟร์วอลล์สำหรับที่อยู่นั้นแยกต่างหากและต้องทบทวนเอง การปล่อย IPv6 เปิดกว้างเป็นข้อผิดพลาดที่พบบ่อย

ทางเลือกที่ไม่ต้องเปิดพอร์ต

มักมีเส้นทางที่ปลอดภัยกว่าสำหรับเป้าหมายเดียวกัน

• การเชื่อมต่อขาออกอย่างเดียว การท่องเว็บ Stream และแชตส่วนใหญ่ทำงานได้โดยไม่ต้องส่งต่อพอร์ต
• บริการรีเลย์หรือจุดนัดพบที่มีในแอป เกมและเครื่องมือซิงก์จำนวนมากเชื่อมต่อผ่านเซิร์ฟเวอร์ประสานงาน เพื่อที่ทั้งสองฝ่ายไม่ต้องเปิดพอร์ต
• เครือข่ายส่วนตัว หากต้องการเข้าถึงเซิร์ฟเวอร์ที่บ้านของตัวเอง ให้เข้าร่วมเครือข่ายส่วนตัวระหว่างอุปกรณ์ของคุณ ดูแนวคิดใน เครื่องมือ Mesh VPN ไม่มีอะไรถูกเปิดสู่อินเทอร์เน็ตสาธารณะ
• เซิร์ฟเวอร์ VPN ที่บ้าน หากต้องการเข้าถึงเครือข่ายบ้าน การรันจุดเชื่อมต่อ VPN ของตัวเองเปิดเผยพอร์ตเดียวที่เสริมความแข็งแรง และให้คุณเข้าถึงทุกอย่างหลังมัน แทนที่จะเปิดหลายบริการแยกกัน
• การเข้าถึงแบบ Zero Trust บางองค์กรแทนที่พอร์ตเปิดด้วยการเข้าถึงที่ตรวจตัวตนต่อแต่ละแอปพลิเคชัน แนวคิดนี้อธิบายไว้ในเอกสารสถาปัตยกรรม Zero Trust ของ NIST

สามสถานการณ์

เจ้าของห้องเกม พิมต้องการให้เพื่อนเข้าร่วมเซิร์ฟเวอร์เกมเล็ก ๆ บนพีซีของเธอ เธอเปิดหนึ่งพอร์ตสำหรับโปรแกรมเซิร์ฟเวอร์ตัวเดียว ติดตั้งอัปเดตล่าสุด ตั้งรหัสผ่านผู้ดูแล และปิดพอร์ตเมื่อค่ำคืนจบ พีซีเครื่องนั้นไม่มีเอกสารส่วนตัวและอยู่บนเครือข่ายแขก หากเซิร์ฟเวอร์ถูกบุกรุก ก็สูญเสียน้อย

กล้องในบ้าน ชัยส่งต่อพอร์ตไปยังกล้องเพื่อดูจากที่ทำงาน กล้องไม่ได้อัปเดตเฟิร์มแวร์มาสามปีและใช้รหัสผ่านค่าเริ่มต้น นี่คือความเสี่ยงสูง ทางที่ดีกว่าคือเข้าถึงกล้องผ่านการเชื่อมต่อส่วนตัวไปยังเครือข่ายบ้าน หรือใช้ฟีเจอร์คลาวด์ที่อัปเดตของผู้ผลิต และไม่ให้กล้องอยู่บนอินเทอร์เน็ตเปิด

โปรแกรมแชร์ไฟล์ มนใช้โปรแกรมสำหรับสื่อที่มีสัญญาอนุญาตแบบเปิด และตั้งพอร์ตที่ส่งต่อเพื่อให้การถ่ายโอนเร็วขึ้น โปรแกรมนั้นเปิดเผยรูปแบบกิจกรรมของเธอให้เพียร์เห็นตามการออกแบบ และ VPN ไม่ได้เปลี่ยนเรื่องนั้น เธอยอมรับ อัปเดตโปรแกรมสม่ำเสมอ และใช้ในบัญชีผู้ใช้แยกที่เข้าถึงเอกสารของเธอไม่ได้ เธอยังตรวจเงื่อนไขของสิ่งที่แชร์ เพราะ VPN ไม่เปลี่ยนสิ่งที่ได้รับอนุญาต

ความผิดพลาดที่ควรเลี่ยง

• ส่งต่อพอร์ต "เผื่อไว้" แล้วลืมมัน
• ใช้รหัสผ่านค่าเริ่มต้นกับบริการที่อยู่หลังมัน
• ส่งต่อไปที่แล็ปท็อปเครื่องหลักแทนอุปกรณ์แยกต่างหาก
• สมมติว่า VPN ปกป้องบริการที่เปิดไว้
• เชื่อว่าพอร์ตที่เปิดมองไม่เห็นเพราะไม่มีใครรู้ที่อยู่ของคุณ
• ไม่เคยทดสอบจากภายนอก

สรุป

Port Forwarding ผ่าน VPN ให้โลกภายนอกเริ่มการเชื่อมต่อมายังหนึ่งอุปกรณ์ของคุณได้ มีประโยชน์สำหรับการเป็นเจ้าบ้าน เครื่องมือ peer-to-peer บางอย่าง และการเข้าถึงอุปกรณ์ของตัวเองจากระยะไกล แต่ก็เปิดเผยทุกอย่างที่รออยู่หลังพอร์ตให้ทั้งอินเทอร์เน็ตเห็น ซึ่งเครื่องมือสแกนหาเจอได้เร็ว VPN ไม่ได้ปกป้องบริการนั้น ให้ส่งต่อหนึ่งพอร์ตไปยังหนึ่งบริการที่อัปเดตแล้วบนอุปกรณ์ที่แยกไว้ ใช้ข้อมูลล็อกอินที่แข็งแรง ปิดพอร์ตเมื่อเสร็จ และเลือกใช้เครือข่ายส่วนตัวหรือการเชื่อมต่อขาออกอย่างเดียวเมื่อทำได้

หากคุณต้องการ VPN เพื่อการป้องกันขาออกในชีวิตประจำวัน หน้าราคา แสดงตัวเลือกแบบจ่ายล่วงหน้า ส่วนเรื่องการส่งต่อพอร์ต ควรสอบถามเฉพาะเมื่อมีแอปที่ต้องใช้จริง ๆ