ตั้ง VPN บน Router แบบ Dual-WAN อย่างไร

สายอินเทอร์เน็ตเส้นที่สองเคยเป็นของที่มีแต่ออฟฟิศ ตอนนี้หลายบ้านและร้านค้าเล็ก ๆ มีไฟเบอร์บวกสายสำรองมือถือ หรือเน็ตบ้านสองเจ้าที่ต่อเข้า Router ที่มีสองพอร์ต WAN แนวคิดน่าสนใจ ถ้าสายหนึ่งล่ม อีกสายก็รับช่วงต่อ แต่พอมีคนใส่ VPN ลงใน Router ตัวเดียวกัน เรื่องก็ไม่เรียบร้อยเหมือนเดิม อุโมงค์คือการเชื่อมต่อระยะยาวที่ผูกกับ IP สาธารณะหนึ่งตัว ส่วน Router แบบ Dual-WAN ถูกสร้างมาเพื่อย้ายทราฟฟิกระหว่าง IP สาธารณะ แนวคิดสองอย่างนี้ดึงไปคนละทาง

บทความนี้อธิบายว่า VPN Dual WAN ทำงานอย่างไร ความต่างของ failover กับ load balancing จุดที่อุโมงค์ขาด สิ่งที่สายสำรองมือถือเปลี่ยนไป และรายการตรวจสำหรับการวางแผนและทดสอบ โดยสมมติว่าคุณรู้พื้นฐานการใส่ VPN บน Router แล้ว หากยัง ให้อ่านวิธีตั้งค่า VPN บน Router ก่อน ส่วนคำถามใหญ่ว่าควรใช้ Router หรือไม่ ดู Router VPN กับแอป VPN

Dual-WAN ทำอะไรจริง ๆ

พอร์ต WAN คือช่องที่ Router เชื่อมต่อกับอินเทอร์เน็ต Router แบบ dual-WAN มีสองช่อง และใช้งานได้สองแบบหลัก

Failover สายหนึ่งเป็นสายหลัก อีกสายรออยู่ Router ตรวจสายหลักเป็นระยะ เช่นส่ง ping ไปยังที่อยู่ที่เชื่อถือได้หลายแห่ง ถ้าการตรวจล้มเหลวนานพอ Router จะสลับ default route ไปยังสายรอง และเมื่อสายหลักกลับมาอาจย้ายทราฟฟิกคืน

Load balancing ใช้ทั้งสองสายพร้อมกัน การเชื่อมต่อใหม่ถูกแบ่งระหว่างสองสาย จะแบ่งเท่า ๆ กันหรือตามสัดส่วนที่ตั้งก็ได้ การดาวน์โหลดหนึ่งไฟล์ยังใช้ได้เพียงสายเดียว แต่แท็บเบราว์เซอร์สิบแท็บกับมือถือสามเครื่องอาจกระจายไปทั้งสองสาย

Router อาจให้ตรึงบางอุปกรณ์หรือบริการไว้กับสายที่เลือก ซึ่งเป็น policy routing รูปแบบหนึ่ง บทความเรื่องการแยกทราฟฟิกตามอุปกรณ์อธิบายแนวคิดทั่วไป

ทั้งสองสายมี IP สาธารณะของตัวเองจากผู้ให้บริการแต่ละราย ตรงนี้คือจุดที่ VPN เข้ามาเกี่ยวข้อง เพราะอุโมงค์สร้างจากที่อยู่ใดที่อยู่หนึ่งเหล่านั้น

ทำไม VPN กับ Dual-WAN ชนกัน

อุโมงค์ VPN เมื่อสร้างแล้วคือบทสนทนาระหว่าง Router กับเซิร์ฟเวอร์ VPN หนึ่งตัว เซิร์ฟเวอร์เห็นที่อยู่ต้นทางของฝั่งคุณที่อยู่หนึ่ง และคาดหวังว่าแพ็กเก็ตจะมาจากที่อยู่นั้นต่อไป จึงเกิดผลดังนี้

• การสลับสายเปลี่ยนที่อยู่ต้นทาง ถ้า Router ทำ failover จากสาย A ไปสาย B เซิร์ฟเวอร์ VPN จะเห็นแพ็กเก็ตจากที่อยู่ที่ไม่เคยรู้จัก ขึ้นกับวิธีเชื่อมต่อ เซสชันเดิมจะตาย หรือค้างเปล่า ๆ จนหมดเวลา
• การเชื่อมต่อใหม่ต้องใช้เวลา Router ต้องรู้ว่าอุโมงค์ตาย ล้มมันทิ้ง และสร้างใหม่ผ่านสาย B ใช้เวลาตั้งแต่ไม่กี่วินาทีถึงมากกว่าหนึ่งนาที
• Load balancing ทำให้บทสนทนาเดียวแตกเป็นสอง ถ้า Router ส่งแพ็กเก็ตของอุโมงค์บางส่วนผ่านสาย A และบางส่วนผ่านสาย B เซิร์ฟเวอร์จะเห็นเซสชันเดียวกระโดดไปมาระหว่างที่อยู่ ระบบส่วนใหญ่เลี่ยงโดยให้แต่ละการเชื่อมต่ออยู่สายเดียว แต่ตัวอุโมงค์เองต้องถูกตรึงกับสายหนึ่ง
• IP สาธารณะของคุณเปลี่ยน เว็บไซต์และบริการที่จับตาการเปลี่ยนที่อยู่อาจสังเกตเห็น ที่อยู่สองที่จากผู้ให้บริการสองราย ไม่เหมือนที่อยู่เดียวที่คงที่ หากศัพท์เหล่านี้ไม่คุ้น อ่าน IP สาธารณะคืออะไร

พูดสั้น ๆ VPN ต้องการฐานที่นิ่ง ส่วน dual-WAN ตั้งใจเปลี่ยนฐาน รวมกันได้ แต่ต้องเลือกวิธี

สี่วิธีรวมสองอย่างเข้าด้วยกัน

รูปแบบ	วิธีทำงาน	ข้อดี	ข้อเสีย
อุโมงค์บนสายหลักอย่างเดียว สลับไปออกตรง	VPN ใช้สาย A ถ้า A ล่ม Router ใช้สาย B โดยไม่มีอุโมงค์	ง่าย เน็ตไม่ดับ	เปิดเผยตอนอยู่สาย B ถ้าไม่บล็อก
อุโมงค์บนสายหลัก เมื่อสลับจะสร้างใหม่ผ่าน B	VPN client เชื่อมต่อใหม่ผ่านสาย B หลัง failover	ปกป้องทั้งสองสาย	สะดุดตอนสร้างใหม่
หนึ่งอุโมงค์ต่อหนึ่งสาย	VPN client สองตัว ผูกกับสายละตัว	สลับเร็ว ไม่ต้องสร้างใหม่	ซับซ้อน ตั้งค่าเป็นสองเท่า
VPN บนอุปกรณ์หลัง Router	Router ทำ dual-WAN ธรรมดา โน้ตบุ๊กหรือมือถือรันแอปเอง	Router เรียบง่าย	ครอบคลุมเฉพาะเครื่องนั้น

แบบที่ 1 คือสิ่งที่ Router จำนวนมากเป็นโดยค่าเริ่มต้น อุโมงค์ถูกตรึงกับสายหนึ่ง ส่วนที่เหลือของ Router ก็ failover ตามปกติ เน็ตไม่ดับ แต่ระหว่าง failover ทราฟฟิกของคุณออกไปโดยไม่มีการป้องกัน ถ้าความปลอดภัยสำคัญกว่าความต่อเนื่อง ต้องมีกฎบล็อก แนวคิดเดียวกับ Kill Switch ของ VPN คือให้ทราฟฟิกออกได้เฉพาะเข้าอุโมงค์

แบบที่ 2 คือจุดกึ่งกลางที่พบบ่อย ต้องใช้เฟิร์มแวร์ที่ผูก VPN client กับ WAN ที่กำลังใช้งานอยู่ได้ หรือรีสตาร์ต client เมื่อสายที่ใช้เปลี่ยน

แบบที่ 3 ให้ผลลื่นที่สุดบน Router ที่แรงพอจะรัน client สองตัว แต่ต้องมีกฎ policy ส่งแต่ละอุปกรณ์เข้าอุโมงค์ที่ถูก และต้องดู log สองชุด

แบบที่ 4 ชนะในบ้านทั่วไป ปล่อยให้ Router ทำ failover ธรรมดา และวางแอป VPN บนอุปกรณ์สำคัญ ก็ไม่มีอุโมงค์ใดต้องรอดจากการเปลี่ยนสาย แอปเชื่อมต่อใหม่เองเมื่อเครือข่ายเปลี่ยน

รายการวางแผนก่อนเริ่ม

1. จดบทบาท สายไหนหลัก สายไหนสำรอง ผู้ให้บริการรายไหนเสถียรกว่า ถูกกว่า หรือคิดตามปริมาณ
2. ตัดสินลำดับความสำคัญ ความต่อเนื่องสำคัญกว่าหรือการป้องกันสำคัญกว่า คำตอบนี้ช่วยเลือกระหว่างแบบ 1 กับแบบ 2
3. ตรวจเฟิร์มแวร์ หาตัวเลือกผูก VPN client กับ WAN ใด WAN หนึ่ง หรือตาม WAN ที่ทำงานอยู่ ถ้าไม่พบ ให้ถือว่า client ผูกกับ default route ณ ตอนเริ่มทำงาน
4. ตรวจค่า health check failover เริ่มจากการ ping ทดสอบ เลือกเป้าหมายที่เชื่อถือได้ และกำหนดจำนวนครั้งที่ล้มเหลวให้พอดี เลี่ยงสัญญาณเตือนผิดโดยไม่ทำให้ไฟดับจริงยาวเป็นนาที
5. ตัดสินใจเรื่องทราฟฟิกที่ไม่มีการป้องกัน จะอนุญาตหรือบล็อกในช่วง failover
6. ตัดสินใจว่าอุปกรณ์ไหนอยู่นอกอุโมงค์ สายสำรองที่คิดตามปริมาณ เช่น เน็ตมือถือ อาจแพงเกินกว่าจะส่งทุกอย่างผ่านอุโมงค์ ควรเว้นอุปกรณ์ Stream ไม่ให้ใช้สายนั้นถ้าทำได้
7. จดที่อยู่ บันทึก IP ของทั้งสองสาย และวิธีรู้ว่าสายไหนกำลังใช้งานอยู่

จังหวะ failover และวิธีทดสอบ

คุณเชื่อได้เฉพาะสิ่งที่เคยเห็นมันล้มจริง เลือกเวลาที่เงียบ

1. เมื่อทั้งสองสายใช้ได้ ยืนยันว่าอุโมงค์ทำงาน และจดที่อยู่ที่หน้าตรวจ IP แสดง
2. ถอดสายของสายหลัก (ไม่ใช่ปลั๊กไฟ Router) แล้วเริ่มจับเวลา
3. ดูหน้าสถานะของ Router จดเวลาที่มันประกาศว่าสายหลักล่ม นั่นคือหน่วง failover
4. ดู VPN client จดเวลาที่แสดงว่าตัดการเชื่อมต่อ และเวลาที่เชื่อมต่อใหม่ผ่านสายสำรอง นั่นคือหน่วงการกู้อุโมงค์
5. จากโน้ตบุ๊ก ให้ ping ไปยังที่อยู่ที่เสถียรตลอดเวลา นับว่าสูญเสียการตอบกลับกี่ครั้ง
6. หลังกู้คืน โหลดหน้าตรวจ IP ใหม่ ที่อยู่ควรเป็นของอุโมงค์อีกครั้ง
7. เสียบสายหลักกลับ จดว่า Router ย้ายทราฟฟิกคืนหรือไม่ และอุโมงค์สร้างใหม่เป็นรอบที่สองหรือไม่

ควรคาดว่าจะมีสองความหน่วงบวกกัน คือเวลาที่ Router ตรวจพบ และเวลาที่อุโมงค์ฟื้น ถ้าผลรวมเกินที่ยอมรับได้ ให้ลดช่วงเวลา health check หรือเปลี่ยนไปใช้แบบ 3 หรือ 4 คำอธิบายสั้น ๆ ว่าความหน่วงและ jitter สำคัญอย่างไร อยู่ในคู่มือ latency ของ Cloudflare หากเชื่อมต่อใหม่ช้าหรือไม่สำเร็จ ดูสาเหตุที่พบบ่อยในเชื่อมต่อใหม่เมื่อ VPN หลุด

สายสำรองมือถือ

หลายบ้านที่ใช้ dual-WAN ใช้ Router 4G/5G หรือมือถือเป็นสายที่สอง เป็นสายสำรองที่สมเหตุสมผล แต่มีข้อควรรู้บางอย่างที่เกี่ยวกับ VPN

• ที่อยู่ใช้ร่วมกัน ผู้ให้บริการมือถือมักให้ลูกค้าหลายรายอยู่หลัง IP สาธารณะเดียวกัน ช่วงที่อยู่แบบ shared ที่สงวนไว้สำหรับเรื่องนี้อธิบายไว้ใน RFC 6598 โดยทั่วไปไม่เป็นปัญหากับอุโมงค์ขาออกที่เริ่มจากฝั่งคุณ แต่แปลว่าการเชื่อมต่อขาเข้ามายังบ้านมักเข้าไม่ถึง
• ที่อยู่เปลี่ยนบ่อย ที่อยู่มือถือเปลี่ยนบ่อยกว่าเน็ตบ้านแบบประจำที่ อุโมงค์บนสายมือถืออาจต้องสร้างใหม่บ่อยขึ้น
• ความหน่วงสูงและไม่คงที่ การประชุมหรือเล่นเกมผ่านอุโมงค์บนเน็ตมือถือจะรู้สึกได้
• ปริมาณข้อมูลและค่าใช้จ่าย อุโมงค์เพิ่มส่วนหัวให้ทุกแพ็กเก็ตเล็กน้อย สายสำรองที่คิดตามปริมาณถ้าใช้ทุกอย่างอาจหมดเร็วกว่าที่คิด
• บริการขาเข้าใช้ไม่ได้ ถ้าคุณมีบริการที่คนอื่นต้องเชื่อมต่อเข้ามา เช่น ดูกล้องจากภายนอก จะเข้าถึงไม่ได้ขณะใช้สายมือถือ ดู Port Forwarding กับ VPN เพื่อเข้าใจว่าการเข้าถึงขาเข้ากับอุโมงค์เกี่ยวข้องกันอย่างไร

ถ้าพึ่งสายสำรองมือถือ ให้ทดสอบอุโมงค์บนสายนั้นโดยตั้งใจ ไม่ใช่เจอครั้งแรกตอนเน็ตล่มจริง

สามสถานการณ์ตัวอย่าง

ออฟฟิศที่บ้านกับไฟเบอร์และสำรอง 4G อาหมัดทำงานที่บ้าน ใช้ไฟเบอร์เป็นสายหลักและ Router 4G ตัวเล็กเป็นสายสำรอง การประชุมวิดีโอสำคัญกว่าการป้องกันแบบสมบูรณ์ เขาเลือกแบบ 4 คือให้ Router ทำ failover ธรรมดา และโน้ตบุ๊กรันแอป VPN เมื่อไฟเบอร์ล่ม โน้ตบุ๊กสังเกตว่าเครือข่ายเปลี่ยน ตัดอุโมงค์ แล้วเชื่อมต่อใหม่ผ่าน 4G ภายในไม่กี่วินาที การประชุมค้างครู่หนึ่งแล้วกลับมา อุปกรณ์ในครอบครัวไม่ได้ใช้ VPN

ร้านค้าเล็กกับเน็ตสองสาย เหมยดูแลร้านที่มีแคชเชียร์ เครื่องรูดบัตร และ Wi-Fi พนักงาน เธออยากปกป้อง Wi-Fi พนักงาน แต่ไม่แตะเครื่องรูดบัตร เพราะระบบชำระเงินอาจไวต่อการเปลี่ยนที่อยู่ เธอใช้ Router ที่รองรับ policy routing ตามแบบ 2 คือเครือข่ายพนักงานผ่านอุโมงค์และสร้างใหม่เมื่อ failover ส่วนเครื่องรูดบัตรตรึงกับสายหลักโดยไม่มีอุโมงค์ เธอทดสอบทุกเดือนด้วยการถอดสายหลัก

ห้องพักที่มีสองผู้ให้บริการและ Stream หนัก เพื่อนร่วมห้องสามคนจ่ายค่าเน็ตคนละสาย ต่อทั้งสองเข้า Router แบบ load balance เมื่อเพิ่ม VPN ลงใน Router พบว่าการดาวน์โหลดไม่เร็วขึ้น นั่นคาดได้อยู่แล้ว เพราะอุโมงค์เดียวขี่สายเดียว พวกเขาจึงเลือกรัน VPN เฉพาะบนโน้ตบุ๊กที่จำเป็น และปล่อย load balancer ไว้เป็นแบบธรรมดา เพื่อให้การ Stream ใช้ได้ทั้งสองสาย

ข้อจำกัด การแก้ปัญหา และความผิดพลาดที่พบบ่อย

อุโมงค์ไม่กลับมาหลัง failover client อาจยังพยายามใช้สายเก่า รีสตาร์ตมัน และตรวจว่าเฟิร์มแวร์ผูก client กับ WAN ที่ใช้งานอยู่ หรือรันสคริปต์เมื่อสายเปลี่ยนได้หรือไม่

อินเทอร์เน็ตหยุดสนิทระหว่าง failover กฎบล็อกทำงานตามที่ออกแบบ ถ้ารับไม่ได้ ให้เปลี่ยนเป็นแบบ 4 หรือยอมรับการเปิดเผยช่วง failover

ความเร็วเท่ากับสายเดียว Load balancing ช่วยการเชื่อมต่อจำนวนมาก ไม่ใช่อุโมงค์เดียว ถ้าต้องการอุโมงค์เดียวที่เร็ว มีเพียงสายที่เร็วกว่าที่แบกได้

ที่อยู่ที่แสดงผิดหลัง failover Router อาจส่งทราฟฟิกจากสายสำรองออกนอกอุโมงค์ ตรวจกฎสำหรับสถานะ failover อีกครั้ง

สลับไปมาระหว่างสองสายบ่อย health check ไวเกินไป เพิ่มเกณฑ์ความล้มเหลว หรือเลือกเป้าหมายทดสอบที่เชื่อถือได้กว่า การสลับถี่ทำให้สร้างอุโมงค์ใหม่ซ้ำ ๆ ดูเพิ่มความเสถียรของการเชื่อมต่อ VPN

ความผิดพลาดที่พบบ่อย

• เข้าใจว่ามีสายที่สองแล้ว VPN จะเร็วเป็นสองเท่า
• ไม่เคยทดสอบ failover ขณะที่อุโมงค์ทำงานอยู่
• ใช้ที่อยู่เดียวที่ไม่เสถียรเป็นเป้าหมาย health check เพียงตัวเดียว
• ลืมว่าสายสำรองอาจไม่รับการเชื่อมต่อขาเข้า
• ส่งทุกอุปกรณ์ผ่านสายสำรองที่คิดตามปริมาณ
• ไม่บอกคนในบ้านว่าช่วง failover จะสะดุดสั้น ๆ เป็นเรื่องปกติ

สรุป

บน Router แบบ dual-WAN อุโมงค์ VPN ผูกกับสายที่ใช้สร้างมัน และ failover หรือ load balancing เปลี่ยนสายนั้น ตัดสินใจว่าความต่อเนื่องหรือการป้องกันมาก่อน เลือกหนึ่งในสี่รูปแบบ และวัดเวลากู้คืนจริงด้วยการถอดสายหลักโดยตั้งใจ มองสายสำรองมือถือว่าเป็นสายที่มีข้อควรรู้ของตัวเอง สำหรับหลายบ้าน การให้ Router ทำ failover ธรรมดาและใช้แอป VPN บนอุปกรณ์สำคัญคือการรวมที่เปราะบางน้อยที่สุด

หากกำลังวางแผนตั้ง Router และอยากมีพาสแบบเติมเงินไว้ทดลอง ดูสิ่งที่มีได้ที่หน้าราคา และดูวิธีเชื่อมต่อได้ที่หน้า My Pass