ป้องกันข้อมูลรั่วเมื่อ VPN บน Router หลุด

เมื่อคุณเชื่อมต่อ VPN บนมือถือ แอปมักบอกให้รู้เมื่ออุโมงค์หลุด อาจเป็นไอคอนที่เปลี่ยนไป การแจ้งเตือน หรือข้อความถามว่าจะทำอย่างไรต่อ แต่ Router ไม่มีอะไรแบบนั้น มันวางอยู่ในตู้หรือมุมห้อง ส่งต่อแพ็กเก็ตของทุกเครื่องในบ้านไม่ว่าจะเป็นมือถือ ทีวี หรือโน้ตบุ๊ก และถ้า VPN หลุดตอนตีสอง ก็ไม่มีใครได้รับข้อความ คำถามคือ Router จะทำอย่างไรต่อ หยุดส่งต่อข้อมูล หรือเงียบ ๆ ส่งทุกอย่างออกทางอินเทอร์เน็ตปกติ

พฤติกรรมอย่างหลังคือสาเหตุที่ Router VPN หลุดแล้วข้อมูลรั่ว ส่วน Kill Switch ของ Router คือชุดกฎที่ทำให้เกิดพฤติกรรมอย่างแรก บทความนี้จะอธิบายว่า Router ตอบสนองต่ออุโมงค์ที่หลุดอย่างไร จะทำให้ Router ตัดการเชื่อมต่อแทนการปล่อยข้อมูลได้อย่างไร DNS กับ IPv6 ต้องระวังอะไร วิธีทดสอบที่ทำซ้ำได้ และข้อแลกเปลี่ยนที่ต้องยอมรับเมื่อทั้งบ้านพึ่งอุโมงค์เส้นเดียว หากต้องการทราบแนวคิดฝั่งแอป อ่านเพิ่มที่ Kill Switch ของ VPN คืออะไร ส่วนบทความนี้จะเน้นที่ Router

ทำไมอุโมงค์บน Router หลุดจึงเป็นเรื่องใหญ่กว่า

บนมือถือ VPN หลุดกระทบคนเดียว และคนนั้นมักสังเกตเห็น แต่บน Router การหลุดครั้งเดียวกระทบทุกอุปกรณ์พร้อมกัน และไม่มีใครเฝ้าดู อุโมงค์หลุดได้จากเหตุธรรมดา ๆ หลายอย่าง

• ผู้ให้บริการอินเทอร์เน็ตรีเซ็ตสายชั่วคราว หรือเปลี่ยน IP สาธารณะของ Router
• เซิร์ฟเวอร์ VPN ที่ใช้อยู่รีสตาร์ตหรือติดต่อไม่ได้
• Router รีบูตหลังไฟดับ แล้วเริ่มส่งต่อทราฟฟิกก่อนที่ VPN client จะเชื่อมต่อเสร็จ
• การอัปเดตเฟิร์มแวร์รีเซ็ตค่าบางอย่าง
• เซสชัน VPN หมดอายุ หรือแพ็กเก็ต keepalive หายไป

ในทุกกรณี อุปกรณ์ที่อยู่หลัง Router ไม่รู้เรื่อง พวกมันยังมี IP ภายในและ gateway ที่ใช้งานได้ คือตัว Router เอง จึงส่งแพ็กเก็ตไปตามเดิม ถ้า Router ไม่มีกฎที่บอกว่า "ห้ามส่งกลุ่มนี้ออกทางปกติ" มันก็จะส่งออกทางปกติ พร้อม IP จริงของคุณ

ไม่มีอะไรพังให้เห็น เว็บยังเปิดได้ นี่คือเหตุผลที่ปัญหานี้อันตราย คือคุณเสียการป้องกันโดยไม่เสียการเชื่อมต่อ จึงไม่มีอาการเตือน และการรั่วอาจกินเวลาหลายชั่วโมง

Router ตอบสนองอย่างไรเมื่ออุโมงค์หลุด

พฤติกรรมของ Router แบ่งได้เป็นสามแบบ เฟิร์มแวร์ของคุณอาจมีให้เลือกมากกว่าหนึ่งแบบ

Fail open (ค่าเริ่มต้นของ Router จำนวนมาก)

เมื่ออินเทอร์เฟซ VPN ดับ เส้นทางที่ชี้ทราฟฟิกเข้าอุโมงค์จะหายไป เหลือเส้นทางเริ่มต้นไปยังผู้ให้บริการอินเทอร์เน็ตตามปกติ ทราฟฟิกยังไหลต่อโดยไม่มีการป้องกัน นี่คือสิ่งที่เกิดขึ้นถ้าเพียงเปิด VPN client แล้วไม่ทำอะไรเพิ่ม

Fail closed ด้วยกฎ firewall

คุณเพิ่มกฎที่ระบุว่า ทราฟฟิกจากเครือข่ายในบ้านส่งต่อได้เฉพาะไปยังอินเทอร์เฟซ VPN ห้ามส่งตรงไปยังอินเทอร์เฟซฝั่งอินเทอร์เน็ต เมื่ออุโมงค์ทำงาน ทราฟฟิกวิ่งผ่านอุโมงค์ เมื่ออุโมงค์ดับ ไม่มีเส้นทางที่ได้รับอนุญาต แพ็กเก็ตจึงถูกทิ้ง อุปกรณ์จะออนไลน์ไม่ได้จนกว่าอุโมงค์จะกลับมา

Fail closed ด้วยตัวเลือกในเฟิร์มแวร์

เฟิร์มแวร์บางตัวมีช่องติ๊กหรือการตั้งค่าที่ชื่อประมาณ "block traffic if VPN is down" หรือ "kill switch" มันสร้างกฎข้างต้นให้เอง ง่ายที่สุด แต่ยังต้องทดสอบ เพราะขอบเขตที่ครอบคลุม (อุปกรณ์ไหน IPv4 หรือ IPv6) ต่างกันไปตามรุ่นของเฟิร์มแวร์

พฤติกรรม	อุโมงค์ทำงาน	อุโมงค์ดับ	ความยุ่งยาก	ความเสี่ยงหลัก
Fail open	มีการป้องกัน	ไม่มีการป้องกัน แต่ยังออนไลน์	ไม่ต้องทำอะไร	เปิดเผยโดยไม่รู้ตัว
Fail closed (กฎ firewall)	มีการป้องกัน	ออฟไลน์ ไม่เปิดเผย	ปานกลาง	พิมพ์กฎผิดแล้วเกิดช่องโหว่
Fail closed (ตัวเลือกในเฟิร์มแวร์)	มีการป้องกัน	ออฟไลน์ ไม่เปิดเผย	ต่ำ	ตัวเลือกอาจไม่ครอบคลุม IPv6 หรือ DNS ของ Router

สร้างกฎ fail closed แบบเข้าใจง่าย

เมนูและชื่อต่างกันไปตามยี่ห้อ ส่วนนี้จึงอธิบายตรรกะ ไม่ใช่ลำดับการกดปุ่ม คู่มือของ Router รุ่นที่คุณใช้คือแหล่งอ้างอิงเรื่องชื่อเมนู หากยังไม่เคยตั้ง VPN client บน Router ให้ทำตามคู่มือตั้งค่า VPN บน Router ก่อน และยืนยันว่าอุโมงค์ใช้งานได้ ก่อนจะเพิ่มกฎบล็อกใด ๆ

1. ระบุชื่ออินเทอร์เฟซ ดูว่าอันไหนคือ LAN อันไหนคือฝั่งอินเทอร์เน็ต (มักเรียก WAN) และอันไหนคืออุโมงค์ VPN จดสามชื่อนี้ไว้
2. อนุญาต LAN ไป VPN ตรวจว่ามีกฎ forward ที่ให้ทราฟฟิกจาก LAN ไปยังอินเทอร์เฟซอุโมงค์
3. ลบหรือบล็อก LAN ไป WAN ลบกฎใดก็ตามที่อนุญาตให้ทราฟฟิกจาก LAN ออก WAN โดยตรง ถ้าเฟิร์มแวร์เปิดอนุญาตเป็นค่าเริ่มต้น ให้เพิ่มกฎบล็อก LAN ไป WAN อย่างชัดเจน โดยวางไว้หลังกฎอนุญาต LAN ไป VPN
4. อย่าตัดการเชื่อมต่อของตัว Router เอง ตัว Router ยังต้องติดต่อเซิร์ฟเวอร์ VPN ผ่าน WAN ดังนั้นอย่าบล็อกทราฟฟิกขาออกของ Router เอง คุณบล็อกเฉพาะการ forward ไม่ใช่การเชื่อมต่อของ Router
5. ระวังลำดับ กฎ firewall มักอ่านจากบนลงล่าง กฎอนุญาตที่อยู่เหนือกฎบล็อกจะทำให้กฎบล็อกไม่มีผล
6. บันทึกแล้วรีบูตหนึ่งครั้ง กฎที่ดูถูกต้องในหน้าตั้งค่าบางครั้งมีผลหลังรีสตาร์ตเท่านั้น และการรีบูตยังเป็นการทดสอบกรณีเริ่มต้นระบบที่อธิบายต่อไปด้วย

ถ้าต้องการให้ครอบคลุมเพียงบางอุปกรณ์ ให้ใช้กฎกับ IP ของอุปกรณ์เหล่านั้น เรื่องนี้เกี่ยวกับ policy routing ซึ่งมีอีกบทความหนึ่งในเว็บไซต์นี้อธิบายแยกต่างหาก ในที่นี้สมมติว่าครอบคลุมทั้งเครือข่าย

ช่องว่างตอนเปิดเครื่องและกรณีรีบูต

มีการรั่วแบบแนบเนียนที่เกิดตอนบูต หลังไฟดับ Router ยก LAN และ WAN ขึ้นมาเร็วมาก ขณะที่ VPN client ใช้เวลาอีกหลายสิบวินาทีกว่าจะเชื่อมต่อ ในช่วงนั้น Router แบบ fail open จะส่งต่อทราฟฟิกตามปกติ กฎ firewall แบบ fail closed จะปิดช่องว่างนี้ได้เฉพาะเมื่อถูกโหลดก่อนที่ LAN จะเริ่ม forward

วิธีสังเกตมีดังนี้

• หลังรีบูต อุปกรณ์ที่เชื่อมต่อทันทีจะไม่มีอินเทอร์เน็ตอยู่ช่วงสั้น ๆ แล้วจึงออนไลน์ แบบนี้คือสัญญาณที่ดี
• ถ้าอุปกรณ์ได้อินเทอร์เน็ตทันทีหลังรีบูต ขณะที่หน้า VPN ยังแสดงว่ากำลังเชื่อมต่อ แปลว่ากฎยังไม่ครอบคลุมช่วงเริ่มต้นระบบ

เฟิร์มแวร์บางตัวเริ่ม VPN client ช้ากว่า firewall ในกระบวนการบูต ซึ่งไม่เป็นไร ตราบใดที่กฎ firewall ไม่ใช่ตัว VPN client เป็นผู้ตัดสินว่าอนุญาตให้ forward หรือไม่

DNS และ IPv6 สองช่องโหว่ที่พบบ่อย

คนส่วนใหญ่ที่ตั้ง Kill Switch ทดสอบเพียงว่า "เว็บโหลดไหม" แต่ยังมีอีกสองเส้นทางที่รั่วได้แม้ทราฟฟิกเว็บ IPv4 ถูกบล็อกแล้ว

คำขอ DNS

ทุกครั้งที่เปิดเว็บ อุปกรณ์จะถาม DNS server ว่าชื่อนั้นคือที่อยู่ใด ถ้า Router แจก DNS ของผู้ให้บริการอินเทอร์เน็ตให้อุปกรณ์ หรือส่งคำขอเองผ่านเส้นทางปกติ ชื่อเว็บที่คุณเข้าก็จะออกนอกอุโมงค์ แม้ทราฟฟิกของหน้าเว็บจะได้รับการป้องกัน อ่านภาพรวมได้ที่ DNS leak คืออะไร บน Router วิธีแก้คือทำให้ DNS server ที่แจกให้อุปกรณ์เข้าถึงได้ผ่านอุโมงค์เท่านั้น และ resolver ของ Router เองไม่ใช้ DNS ฝั่ง WAN เมื่ออุโมงค์ดับ

IPv6

เครือข่ายบ้านจำนวนมากได้รับ prefix IPv6 ควบคู่กับ IPv4 ถ้ากฎของคุณครอบคลุมเฉพาะ IPv4 อุปกรณ์ที่ใช้ IPv6 อาจออกทางเส้นปกติด้วย IPv6 สาธารณะ ขณะที่ IPv4 ถูกบล็อกหรือผ่านอุโมงค์อย่างถูกต้อง ข้อกำหนด IPv6 ใน RFC 8200 อธิบายว่าทุกอุปกรณ์สามารถมีที่อยู่ที่เข้าถึงได้ทั่วโลก ซึ่งเป็นเหตุผลที่ช่องว่างนี้สำคัญ ทางเลือกคือใช้กฎ fail closed เดียวกันกับ IPv6 หรือปิด IPv6 บน LAN ในช่วงที่ใช้ VPN เลือกทำอย่างใดอย่างหนึ่งอย่างตั้งใจ แทนการหวังว่าจะไม่เป็นไร

วิธีทดสอบที่ทำซ้ำได้

คุณไม่ควรเชื่อ Kill Switch ที่ไม่เคยทำให้มันทำงานจริง ทดสอบในช่วงที่ไม่มีใครกำลังประชุมออนไลน์หรือดาวน์โหลดไฟล์

1. ขณะอุโมงค์ทำงาน เปิดเว็บตรวจ IP จากโน้ตบุ๊กในบ้านแล้วจดที่อยู่ ไม่ควรเป็นที่อยู่ที่ผู้ให้บริการอินเทอร์เน็ตให้ตามปกติ หากสับสนเรื่องนี้ อ่านเรื่อง IP สาธารณะคืออะไร
2. เปิดหน้าทดสอบ DNS leak หรือ IPv6 leak แล้วจดผล
3. บน Router ปิด VPN client หรือตัดอุโมงค์ อย่าถอดสาย WAN เพราะต้องการให้เฉพาะอุโมงค์หลุด
4. บนโน้ตบุ๊ก โหลดหน้าตรวจ IP ใหม่ Router แบบ fail closed จะขึ้นข้อผิดพลาดหรือหมดเวลา ส่วนแบบ fail open จะแสดง IP จริงของคุณ
5. ลองเปิดเว็บด้วยชื่อ และด้วยที่อยู่ IPv6 ถ้าคุณรู้จักสักที่อยู่ ทั้งสองแบบไม่ควรเปิดได้
6. เปิด VPN client อีกครั้ง รอสักครู่ ทราฟฟิกควรกลับมา และที่อยู่ควรเป็นที่อยู่ของอุโมงค์อีกครั้ง
7. ทำซ้ำข้อ 3 ถึง 6 อีกหนึ่งรอบหลังรีบูต Router เต็มรูปแบบ

สำหรับการตรวจพื้นฐานที่ใช้ได้กับทุกอุปกรณ์ ดูได้ที่คู่มือตรวจสอบว่า VPN ทำงานอยู่หรือไม่ ซึ่งสรุปเครื่องมือและความหมายของผลลัพธ์ไว้

สามสถานการณ์ตัวอย่าง

ครอบครัวที่ใช้อินเทอร์เน็ตร่วมกัน ครอบครัวของพริมามีลูกสองคน สมาร์ททีวีหนึ่งเครื่อง และมือถือสี่เครื่อง เธอต้องการให้ทั้งบ้านได้รับการปกป้อง เธอเปิด VPN client บน Router แล้วพบว่าหลังไฟดับ ทีวีโหลดรายการได้ทันที ขณะที่สถานะบน Router ยังบอกว่า VPN กำลังเริ่มต้น แปลว่ามีช่องว่างตอนเปิดเครื่อง เธอเพิ่มกฎบล็อก LAN ไป WAN แล้วรีบูต พบว่าอุปกรณ์ต้องรอราวครึ่งนาทีก่อนจะได้อินเทอร์เน็ต ลูก ๆ บ่นหนึ่งครั้ง และเธออธิบายว่าการรอสั้น ๆ นี้คือการป้องกันกำลังทำงาน

คนทำงานระยะไกลในห้องเช่า มาร์คัสทำงานที่บ้านและใช้ VPN บน Router ให้ทั้งห้อง แอปของบริษัทบนโน้ตบุ๊กแจ้งเตือนเมื่ออุโมงค์หลุด เมื่อมี Kill Switch โน้ตบุ๊กจะหมดเวลาเฉยๆ ซึ่งเป็นสิ่งที่เขาต้องการสำหรับทราฟฟิกงาน แต่การประชุมวิดีโอสะดุดราวเก้าสิบวินาทีทุกครั้งที่อุโมงค์เจรจาใหม่ เขาจึงเก็บ Kill Switch ไว้ และย้ายโน้ตบุ๊กงานไปเครือข่ายแขกแยกที่ใช้กฎเดียวกัน เพื่อไม่ให้การดู Streaming ของคนอื่นในห้องแย่งอุโมงค์เดียวกัน

ร้านกาแฟหรือเครือข่ายห้องพักรวม เจ้าของร้านกาแฟตั้ง VPN บน Router ให้ครอบคลุม Wi-Fi ของลูกค้า กฎ fail closed ทำให้ลูกค้าไม่มีอินเทอร์เน็ตเมื่ออุโมงค์ล้ม ซึ่งอาจทำให้มีคำบ่น เธอตัดสินใจว่าสำหรับเครือข่ายสาธารณะ การออฟไลน์ดีกว่าการเปิดเผยข้อมูล แต่ติดประกาศสั้น ๆ บนหน้าล็อกอิน Wi-Fi และเตรียมฮอตสปอตมือถือสำรองให้เครื่องคิดเงิน

ราคาที่ต้องจ่ายของการ fail closed

Kill Switch คือการแลกความพร้อมใช้งานกับความปลอดภัย ควรรู้ว่าคุณรับอะไรไว้

• ไฟดับทั้งบ้านรู้สึกหนักขึ้น ถ้าอุโมงค์ล้ม ทั้งบ้านจะไม่มีอินเทอร์เน็ต ไม่ใช่แค่เครื่องเดียว สาเหตุอาจมาจากเซิร์ฟเวอร์ VPN รีสตาร์ตหรือเครือข่ายของผู้ให้บริการสะดุด ซึ่งคุณแก้จากโซฟาไม่ได้
• อุปกรณ์ที่ไม่ชอบ VPN จะลำบาก แอปธนาคาร เครื่องเล่นเกม และอุปกรณ์สมาร์ทโฮมบางชนิดทำงานผิดปกติบน VPN ถ้าพวกมันอยู่หลังกฎ fail closed ก็ไม่มีทางเลือกอื่น อ่าน Router VPN กับแอป VPN เพื่อตัดสินว่าอุปกรณ์ไหนควรอยู่หลัง Router
• การตรวจปัญหายากขึ้น เมื่อมีคนบอกว่า "เน็ตล่ม" คุณมีจุดใหม่ที่ต้องดูก่อน คืออุโมงค์
• อุปกรณ์สมาร์ทโฮมอาจหลุดจากคลาวด์ เทอร์โมสตัทหรือกล้องที่ต้องติดต่อเซิร์ฟเวอร์ของผู้ผลิตจะออฟไลน์เมื่ออุโมงค์ดับ และอาจต้องเชื่อมต่อใหม่ด้วยมือ

ทางสายกลางคือเก็บ SSID หรือ LAN อีกชุดที่ไม่อยู่ใต้กฎ อุปกรณ์ที่ทนการหลุดไม่ได้ไปอยู่ตรงนั้น ที่เหลือยังได้รับการปกป้อง

แก้ปัญหาเมื่อ Kill Switch ไม่ทำงานตามคาด

อินเทอร์เน็ตไม่กลับมาหลังหลุด กฎทำงานถูกแล้ว แต่อุโมงค์เชื่อมต่อกลับไม่ได้ ดู log ของ Router หาข้อผิดพลาดเรื่องการยืนยันตัวตนหรือเวลา ตรวจว่านาฬิกาของ Router ถูกต้อง และบัญชียังใช้งานได้ ถ้าพาสหมดอายุ อุโมงค์จะไม่เชื่อมต่อกลับ ดูวิธีที่พาสหมดอายุ

อินเทอร์เน็ตใช้ได้ทั้งที่อุโมงค์ขึ้นว่าดับ กฎไม่ถูกใช้ อยู่ใต้กฎอนุญาต หรือไม่ครอบคลุมชนิดอุปกรณ์นั้น ตรวจลำดับกฎและการตั้งค่า "default allow" อีกครั้ง

เครือข่ายแขกหรือ Router ตัวที่สองข้ามกฎ กฎใช้ตามอินเทอร์เฟซ โซนแขกแยกหรืออุปกรณ์ access point ที่ทำงานเป็น Router เองอาจ forward ทราฟฟิกโดยไม่ผ่านกฎบล็อกของคุณ

ออฟไลน์ทุกครั้งหลังรีบูต ตลอดไป กฎ firewall โหลดแล้ว แต่ VPN client ไม่ได้ตั้งให้เริ่มอัตโนมัติ เปิดตัวเลือกเริ่มเมื่อบูตให้ client

ผลทดสอบรั่วเฉพาะ IPv6 ใช้กฎกับ IPv6 ด้วย หรือปิด IPv6 บน LAN ช่วงที่ใช้อุโมงค์

หลุดบ่อย การหลุดบ่อยเป็นปัญหาความเสถียร ไม่ใช่ปัญหา Kill Switch ลองทำตามเพิ่มความเสถียรของการเชื่อมต่อ VPN ก่อน เพราะเมื่อ fail closed ทุกครั้งที่หลุดจะกลายเป็นเน็ตล่ม

ความผิดพลาดที่พบบ่อย

• เปิด VPN client แล้วเข้าใจว่ามี Kill Switch อยู่แล้ว
• ทดสอบโดยเปิดเว็บเดียวแล้วจบ
• บล็อกทราฟฟิกของ Router เองที่ไปยังเซิร์ฟเวอร์ VPN ทำให้อุโมงค์เชื่อมต่อกลับไม่ได้
• วางกฎบล็อกไว้เหนือกฎอนุญาต
• ลืม IPv6 และ DNS ของ Router
• ไม่ทดสอบซ้ำหลังอัปเดตเฟิร์มแวร์
• ให้ทุกอุปกรณ์อยู่หลังกฎ รวมถึงอุปกรณ์ที่ใช้บน VPN ไม่ได้

สรุป

Router ไม่มีหน้าจอเตือนเมื่ออุโมงค์หลุด พฤติกรรมเริ่มต้นจึงมักเป็นการส่งทราฟฟิกต่อทางเส้นปกติ Kill Switch บน Router คือการบังคับให้ Router ส่งต่อเข้าอุโมงค์เท่านั้น เพื่อให้การหลุดกลายเป็นเน็ตล่ม ไม่ใช่การเปิดเผยข้อมูล สร้างกฎให้ถูกลำดับ ครอบคลุม DNS และ IPv6 ทดสอบโดยตั้งใจตัดอุโมงค์ และทดสอบซ้ำหลังอัปเดต ยอมรับว่า fail closed ทำให้เน็ตล่มเห็นชัดขึ้น และแยกเครือข่ายสำหรับอุปกรณ์ที่ทนไม่ได้

หากกำลังเลือกพาสสำหรับใช้กับ Router หรืออุปกรณ์ของคุณ ดูหน้าราคาได้ตามสะดวก และตรวจหน้า My Pass เพื่อดูวิธีเชื่อมต่อที่ใช้ได้