ใช้ VPN บน Router แล้ว Port Forwarding ทำอย่างไร

Port Forwarding เป็นเรื่องเงียบ ๆ ในเครือข่ายบ้าน หลายปีก่อนคุณเปิดพอร์ตหนึ่งเพื่อให้กล้องวงจรปิด มีเดียเซิร์ฟเวอร์ หรือโฮสต์เกมเข้าถึงได้จากภายนอก และมันก็ใช้งานได้มาตลอด จากนั้นคุณตั้ง VPN บน Router แล้วแอปกล้องก็เชื่อมต่อไม่ได้ ดูเหมือนไม่มีอะไรเสีย VPN ขึ้นว่าเชื่อมต่อแล้ว เว็บโหลดปกติ แต่กฎเดิมไม่ทำอะไรเลย

คู่มือนี้อธิบายว่าทำไม Port Forwarding Router VPN จึงทำงานต่างจากเดิม อะไรเปลี่ยนไปเมื่อ Router ส่งทราฟฟิกผ่านอุโมงค์ จะรู้ได้อย่างไรว่าการเชื่อมต่อของคุณรับการเชื่อมต่อขาเข้าได้หรือไม่ และตัวเลือกที่เป็นไปได้จริงมีอะไรบ้าง บทความนี้ไม่ได้พูดถึงการ forward พอร์ตฝั่งผู้ให้บริการ VPN ซึ่งมีอธิบายใน Port Forwarding ของ VPN ที่นี่เน้น Router ที่บ้านของคุณเอง หากยังไม่เคยตั้ง VPN บน Router ให้เริ่มที่คู่มือตั้งค่า Router

ขาเข้าและขาออกเป็นคนละการเดินทาง

VPN บน Router ออกแบบมาสำหรับทราฟฟิกขาออก มือถือหรือโน้ตบุ๊กของคุณเป็นฝ่ายเริ่มการเชื่อมต่อ และ Router ส่งมันผ่านอุโมงค์ อุโมงค์คือบทสนทนาที่ Router ของคุณเป็นฝ่ายเริ่ม จึงขนอะไรก็ได้ที่เกิดขึ้นข้างในมัน

Port Forwarding เป็นตรงข้าม คนข้างนอกเป็นฝ่ายเริ่มการเชื่อมต่อ เขาเชื่อมต่อมายัง IP สาธารณะของคุณที่พอร์ตที่เลือก Router รับแพ็กเก็ตนั้นที่พอร์ตอินเทอร์เน็ต แล้วส่งต่อไปยังอุปกรณ์ที่ระบุในกฎ

มีสองข้อที่สำคัญ

• แพ็กเก็ตขาเข้ามาถึงทางสายปกติ ผู้ให้บริการอินเทอร์เน็ตกำหนด IP สาธารณะให้สายนั้น มันไม่ได้มาในอุโมงค์ VPN เว้นแต่บริการ VPN จะ forward มาให้โดยเฉพาะ ซึ่งส่วนใหญ่ไม่ทำ
• คำตอบต้องย้อนกลับทางเดิม อุปกรณ์ปลายทางคาดหวังคำตอบจากที่อยู่ที่มันติดต่อไป

ทุกอย่างในบทความนี้ตามมาจากสองข้อนี้ หากต้องการทบทวนเรื่องที่อยู่ IP สาธารณะคืออะไรอธิบายความต่างระหว่างที่อยู่บ้านกับที่อยู่ของ VPN

ทำไม Forward พัง คำตอบไปผิดทาง

ลำดับเหตุการณ์บน Router ที่ส่งทุกอย่างผ่าน VPN เป็นดังนี้

1. มือถือของเพื่อนเชื่อมต่อ IP สาธารณะบ้านของคุณที่พอร์ต 8080 เพื่อดูกล้อง
2. แพ็กเก็ตมาถึงพอร์ตอินเทอร์เน็ตของ Router กฎ Port Forward ส่งต่อไปยังกล้อง ซึ่งมีที่อยู่ส่วนตัวตามที่ RFC 1918 กำหนด
3. กล้องตอบกลับ คำตอบถึง Router และตอนนี้ Router ใช้กฎ routing ปกติ คือทุกอย่างเข้าอุโมงค์
4. คำตอบออกผ่านเซิร์ฟเวอร์ VPN และดูเหมือนมาจากที่อยู่ของเซิร์ฟเวอร์ VPN ไม่ใช่ที่อยู่บ้านของคุณ
5. มือถือของเพื่อนรอคำตอบจากที่อยู่บ้านของคุณ แต่เห็นคนแปลกหน้า จึงทิ้งแพ็กเก็ตนั้น

การเชื่อมต่อล้มเหลวโดยไม่มีข้อผิดพลาดฝั่งคุณ เรียกว่า asymmetric routing คือคำขอเข้ามาทางหนึ่ง แต่คำตอบออกอีกทางหนึ่ง ไฟร์วอลล์ฝั่งปลายทางจำนวนมากทิ้งคำตอบแบบนี้ไปเฉย ๆ ซึ่งเป็นพฤติกรรมที่เราต้องการเพื่อความปลอดภัย

บางครั้งระบบติดตามสถานะของ Router ช่วยแก้ได้ โดยจำการเชื่อมต่อขาเข้าไว้และตอบกลับทางอินเทอร์เฟซเดิม ขึ้นกับเฟิร์มแวร์และวิธีที่ VPN client ถูกสร้าง จึงไม่ควรสรุปล่วงหน้า ต้องทดสอบ

สามผลลัพธ์ที่เป็นไปได้

สถานการณ์	ผลต่อ Forward	เหตุผล
Router ส่งทุกอย่างผ่านอุโมงค์ ไม่มีกฎพิเศษ	มักล้มเหลว	คำตอบออกทางอุโมงค์ด้วยที่อยู่ต้นทางผิด
Router ติดตามการเชื่อมต่อและตอบทางอินเทอร์เฟซที่รับเข้ามา	อาจใช้ได้	คำตอบอยู่บนสายปกติของคุณ
อุปกรณ์ที่ถูก forward ถูกแยกออกจากอุโมงค์ด้วย Policy Routing	ใช้ได้	ทราฟฟิกของมันใช้สายปกติทั้งสองทิศทาง

แถวแรกคือค่าเริ่มต้นของ Router ส่วนใหญ่ และอธิบายคำบ่นส่วนมาก แถวที่สองขึ้นกับเฟิร์มแวร์ แถวที่สามเป็นทางที่เชื่อถือได้ คือบอก Router ว่าอุปกรณ์เครื่องนี้ไม่ใช้อุโมงค์เลย ราคาคืออุปกรณ์นั้นไม่ได้รับการป้องกันจาก VPN ใช้ IP สาธารณะปกติของคุณ และผู้ให้บริการอินเทอร์เน็ตเห็นปลายทางของมัน คู่มือPolicy Routing และ Split Tunnelingอธิบายแนวคิดทั่วไป

คำถามแรก ต้องการการเข้าถึงขาเข้าจริงหรือไม่

ก่อนจะสู้กับ Router ให้ถามว่าจริง ๆ แล้วคุณพยายามทำอะไร หลายคน forward พอร์ตเพราะความเคยชิน

• ดูกล้องหรือ NAS ที่บ้านจากข้างนอก เครื่องมือรีโมตที่ออกแบบมาเพื่อเรื่องนี้ หรือเครือข่าย mesh ส่วนตัวระหว่างอุปกรณ์ของคุณเอง มักแทน forward ได้โดยไม่ต้องเปิดพอร์ต ดู เครื่องมือ mesh VPN ว่าทำงานอย่างไร
• โฮสต์เกม เกมและคอนโซลสมัยใหม่จำนวนมากใช้เซิร์ฟเวอร์รีเลย์หรือจับคู่ผู้เล่น ซึ่งไม่ต้อง forward ตรวจเอกสารของเกมก่อนเปิดอะไร คำแนะนำเฉพาะคอนโซลอยู่ในการใช้ VPN บนเครื่องเกม
• รันเว็บไซต์เล็กหรือมีเดียเซิร์ฟเวอร์ ถ้าต้องทำที่บ้านจริง ต้องยอมรับภาระการดูแลและความปลอดภัย
• รีโมตเดสก์ท็อป หลีกเลี่ยงการเปิดสู่อินเทอร์เน็ตโดยตรง อุโมงค์ส่วนตัวเข้าเครือข่ายของคุณปลอดภัยกว่า

ถ้าเครื่องมืออื่นแก้ปัญหาได้ คุณเปิด VPN ทั้ง Router ไว้และเลิก forward ได้เลย

การเชื่อมต่อของคุณรับขาเข้าได้หรือไม่

VPN ไม่ใช่เหตุผลเดียวที่ forward ล้มเหลว การเชื่อมต่อที่บ้านและมือถือจำนวนมากอยู่หลัง NAT ระดับผู้ให้บริการ (carrier-grade NAT) ซึ่งลูกค้าหลายรายใช้ IP สาธารณะร่วมกัน กรณีนี้ Router ของคุณไม่มีที่อยู่สาธารณะที่เข้าถึงได้ และไม่มีการตั้งค่าใน Router ใดแก้ได้

วิธีตรวจเร็ว ๆ

1. ล็อกอินเข้า Router แล้วดูที่อยู่ที่แสดงบนพอร์ตอินเทอร์เน็ต (WAN)
2. บนอุปกรณ์ในบ้าน เปิดหน้าตรวจ IP แล้วจดที่อยู่ที่รายงาน
3. ถ้าสองที่อยู่เหมือนกัน Router มี IP สาธารณะ และ forward ใช้ได้
4. ถ้าต่างกัน หรือที่อยู่ของ Router อยู่ในช่วง shared ที่อธิบายใน RFC 6598 หรือช่วงส่วนตัว แปลว่าผู้ให้บริการใช้ที่อยู่ร่วมกับลูกค้าอื่น การ forward จากอินเทอร์เน็ตจะเข้าไม่ถึงคุณ

ผู้ให้บริการบางรายให้ IP สาธารณะตามคำขอ บางครั้งมีค่าใช้จ่าย นั่นเป็นเรื่องที่ต้องคุยกับผู้ให้บริการ ไม่ใช่การตั้งค่าใน Router

ตรวจเรื่องนี้ขณะปิด VPN บน Router ไม่เช่นนั้นหน้าตรวจ IP จะรายงานที่อยู่ของอุโมงค์

ทำให้ Forward ใช้ได้ ทีละขั้น

ถ้าตัดสินใจว่าต้องการการเข้าถึงขาเข้า และการเชื่อมต่อของคุณรองรับ วิธีปกติเป็นดังนี้ ชื่อเมนูต่างกันไป ให้ทำตามเอกสารของเฟิร์มแวร์

1. ให้อุปกรณ์มีที่อยู่คงที่ สร้าง DHCP reservation ให้อุปกรณ์เป้าหมายได้ที่อยู่ส่วนตัวเดิมเสมอ forward ที่ชี้ไปที่อยู่ซึ่งเปลี่ยนได้จะพัง
2. ยืนยันว่า forward ใช้ได้ตอนปิด VPN ทดสอบจากนอกเครือข่าย เช่นจากมือถือที่ใช้เน็ตมือถือ ถ้าตอนนี้ยังล้มเหลว VPN ไม่ใช่สาเหตุ
3. เปิด VPN บน Router กลับ แล้วทดสอบอีกครั้ง ถ้าตอนนี้ล้มเหลว เส้นทางคำตอบคือสาเหตุ
4. แยกอุปกรณ์ที่ถูก forward ออกจากอุโมงค์ ใช้ Policy Routing เพิ่มกฎส่งทราฟฟิกทั้งหมดจากที่อยู่ของอุปกรณ์นั้นออกสายอินเทอร์เน็ตปกติ และวางไว้เหนือกฎที่ส่งทุกอย่างเข้าอุโมงค์
5. ทดสอบจากข้างนอกอีกครั้ง forward ควรใช้ได้แล้ว
6. ตรวจว่าเครือข่ายที่เหลือยังใช้อุโมงค์ เปิดหน้าตรวจ IP บนอุปกรณ์อื่น แล้วยืนยันว่าเห็นที่อยู่ของอุโมงค์
7. ทบทวนว่าอุปกรณ์ที่แยกออกทำอะไรอยู่ ตอนนี้มันทำงานโดยไม่มี VPN ปกป้อง ให้แน่ใจว่ามันทำเฉพาะงานที่คุณมอบให้

ถ้าเฟิร์มแวร์ไม่มี Policy Routing ลองย้าย VPN จาก Router ไปไว้บนอุปกรณ์ที่ต้องใช้ ตามที่อธิบายใน Router VPN กับแอป VPN

ความปลอดภัย อย่าเปิดมากกว่าที่จำเป็น

พอร์ตที่ forward คือประตูที่คุณเปิดทิ้งไว้ให้ทั้งอินเทอร์เน็ตลองเปิด ตัวสแกนอัตโนมัติหาพอร์ตที่เปิดได้เร็ว มักภายในไม่กี่ชั่วโมง

• Forward เฉพาะพอร์ตที่ต้องการ ไปยังอุปกรณ์เครื่องเดียว ไม่ใช่เป็นช่วง
• อัปเดตซอฟต์แวร์ของอุปกรณ์นั้นอยู่เสมอ เฟิร์มแวร์เก่าบนกล้องและมีเดียเซิร์ฟเวอร์เป็นช่องทางบุกรุกที่พบบ่อย
• ใช้รหัสผ่านที่แข็งแรงและไม่ซ้ำ และเปิดการยืนยันสองขั้นตอนถ้ามี
• อย่า forward รีโมตเดสก์ท็อปหรือหน้าผู้ดูแล สู่อินเทอร์เน็ตโดยตรง
• ปิด UPnP ถ้าไม่ได้ใช้ เพื่อไม่ให้อุปกรณ์เปิดพอร์ตลับหลังคุณ
• ลบ forward ที่เลิกใช้แล้ว

คู่มือ Surveillance Self-Defense ของ EFF เป็นจุดเริ่มต้นที่ดีเรื่องลดสิ่งที่คุณเปิดเผย VPN ไม่ได้ทดแทนเรื่องเหล่านี้ และไม่ปกป้องบริการที่เปิดไว้จากการถูกโจมตี

สามสถานการณ์ตัวอย่าง

กล้องที่เงียบไป รินะมีกล้องที่บ้านซึ่งเธอเปิดดูตอนทำงาน หลังเปิด VPN บน Router แอปกล้องขึ้นว่า "เชื่อมต่อไม่ได้" เธอลองปิด VPN แล้วกล้องใช้ได้ จึงรู้ว่า VPN เป็นสาเหตุ เธอแยกที่อยู่ที่จองไว้ของกล้องออกจากอุโมงค์ด้วยกฎ policy ทดสอบจากมือถือที่ใช้เน็ตมือถือ ภาพสดก็กลับมา ส่วนที่เหลือของบ้านยังผ่านอุโมงค์ ต่อมาเธอตัดสินใจว่ากล้องเหมาะกับเครื่องมือรีโมตส่วนตัวมากกว่า จึงลบ forward ทิ้ง

โฮสต์เกม โคฟีโฮสต์เซิร์ฟเวอร์เกมให้เพื่อนจากคอนโซลและพีซีเครื่องเล็ก เขาพบว่าเมื่ออยู่หลังอุโมงค์ของ Router ไม่มีใครเข้าร่วมได้ เขาสงสัยว่าบริการ VPN จะ forward พอร์ตให้ได้ไหม ซึ่งขึ้นกับบริการนั้นและบทความนี้สัญญาไม่ได้ เขาเลือกให้พีซีอยู่นอกอุโมงค์ และให้อุปกรณ์ของครอบครัวอยู่ข้างใน

เซอร์ไพรส์เรื่องที่อยู่ร่วม ดาราย้ายเข้าห้องที่ไฟเบอร์มาจากอาคาร เธอพยายาม forward พอร์ตให้มีเดียเซิร์ฟเวอร์ แต่ไม่เคยใช้ได้ แม้ปิด VPN แล้ว ที่อยู่ WAN ของ Router อยู่ในช่วงแบบ shared เธอถามผู้ให้บริการว่ามี IP สาธารณะให้หรือไม่ และระหว่างนั้นใช้เครื่องมือรีโมตส่วนตัวแทนการ forward

แก้ปัญหาและความผิดพลาดที่พบบ่อย

Forward ล้มเหลวแม้ปิด VPN ตรวจที่อยู่คงที่ของเป้าหมาย ไฟร์วอลล์ของอุปกรณ์เอง หมายเลขพอร์ตและโปรโตคอล และการเชื่อมต่อของคุณมี IP สาธารณะหรือไม่

Forward ใช้ได้บางครั้ง ที่อยู่ของเป้าหมายอาจเปลี่ยน หรือ IP สาธารณะของคุณอาจเปลี่ยน IP สาธารณะบ้านอาจเปลี่ยนเมื่อ Router รีสตาร์ต

Forward ใช้ได้แต่อุปกรณ์แสดงที่อยู่ผิดในการทดสอบ เป็นเรื่องที่คาดไว้ เพราะมันอยู่นอกอุโมงค์ ถ้านั่นเป็นปัญหา ให้ทบทวนการออกแบบ

เครือข่ายส่วนที่เหลือเสียอุโมงค์หลังเพิ่มกฎ ข้อยกเว้นกว้างเกินไป เช่นครอบทั้งช่วงที่อยู่ ลดให้เหลือที่อยู่เดียว

อุปกรณ์ที่แยกออกยังล้มเหลว กฎอาจอยู่ใต้กฎครอบคลุมทุกอย่าง ย้ายขึ้นข้างบน

ความผิดพลาดที่พบบ่อย

• เข้าใจว่า VPN ทำให้ Port Forwarding เป็นไปไม่ได้ หรือไม่มีผลเลย
• Forward พอร์ตไปยังอุปกรณ์ที่ไม่ได้จองที่อยู่
• เปิดพอร์ตทั้งที่เครื่องมือรีโมตก็พอ
• ปล่อย forward เก่าค้างไว้
• ทดสอบจากในบ้านเท่านั้น ซึ่งมักใช้ได้แม้การเข้าถึงจากนอกบ้านใช้ไม่ได้
• เข้าใจว่าบริการ VPN จะ forward ขาเข้าให้โดยไม่ตรวจเอกสารของบริการนั้น

สรุป

Port Forwarding ในบ้านรับการเชื่อมต่อขาเข้าทางสายอินเทอร์เน็ตปกติ ขณะที่ VPN บน Router ส่งทราฟฟิกขาออกและคำตอบผ่านอุโมงค์ ความไม่ตรงกันนี้ทำให้คำตอบออกจากที่อยู่ผิด Forward จึงล้มเหลวเงียบ ๆ วิธีแก้ที่เชื่อถือได้คือให้อุปกรณ์ที่ถูก forward อยู่นอกอุโมงค์ด้วย Policy Routing หลังจากยืนยันว่าการเชื่อมต่อของคุณมี IP สาธารณะที่เข้าถึงได้ และคุณต้องการการเข้าถึงขาเข้าจริง ๆ ให้ forward เท่าที่จำเป็น อัปเดตอยู่เสมอ และพิจารณาเครื่องมือรีโมตส่วนตัวแทน

หากกำลังตั้ง VPN บน Router สำหรับส่วนที่เหลือของบ้าน หน้าราคาแสดงพาสที่มี และหน้า My Pass แสดงวิธีเชื่อมต่อที่ใช้ได้