ตั้ง Policy Routing เพื่อแยกอุปกรณ์ที่ใช้ VPN

Router ที่ติดตั้ง VPN client มักเริ่มด้วยการตั้งค่าแบบหยาบ คือทุกอย่างในบ้านผ่านอุโมงค์ ซึ่งง่ายดี แต่ก็อึดอัด สมาร์ททีวีที่ทำงานดีกว่าบนเน็ตปกติ โน้ตบุ๊กที่ทำงานซึ่งมี VPN ของบริษัทอยู่แล้ว เครื่องพิมพ์ที่ต้องเข้าถึงได้ในวงภายใน และเครื่องเล่นเกมที่ไม่ชอบอุโมงค์ ล้วนถูกลากไปด้วย ทางออกคือ Router Split Tunneling ซึ่งบน Router ทำด้วย Policy Routing หรือกฎที่ตัดสินทีละอุปกรณ์หรือทีละปลายทางว่าทราฟฟิกไหนเข้าอุโมงค์ ไหนไม่เข้า

บทความนี้อธิบายหลักการของ Policy Routing สี่วิธีที่ Router ใช้เลือกทราฟฟิก การตั้งเครือข่ายบ้านแบบสองเลน บทบาทของ DNS และความผิดพลาดที่ทำให้งงบ่อยที่สุด โดยสมมติว่า VPN client ทำงานบน Router อยู่แล้ว หากยังไม่ได้ตั้ง ให้เริ่มที่คู่มือตั้งค่า Router ส่วนแนวคิดทั่วไปของการแยกทราฟฟิก อ่านเรื่อง Split Tunneling คืออะไร ก่อน

Policy Routing ในย่อหน้าเดียว

Router ทั่วไปเลือก hop ถัดไปจากที่อยู่ปลายทางอย่างเดียว โดยใช้ตาราง routing หนึ่งตารางที่มี default route เส้นเดียว Policy Routing เพิ่มคำถามก่อนการค้นหานั้น คือแพ็กเก็ตนี้ตรงกับกฎข้อใดหรือไม่ กฎอาจบอกว่า "แพ็กเก็ตจาก 192.168.1.50 ใช้ตาราง VPN" หรือ "แพ็กเก็ตที่ไปยังช่วงที่อยู่นี้ใช้ตารางปกติ" แพ็กเก็ตจึงวิ่งตามตารางที่กฎเลือก ที่อยู่ภายในบ้านแบบนี้กำหนดไว้ใน RFC 1918 และเป็นสิ่งที่กฎส่วนใหญ่ในบ้านใช้จับคู่ เพราะ Router เห็นอุปกรณ์แต่ละเครื่องผ่านที่อยู่ภายในเท่านั้น

ข้อนี้คือความต่างสำคัญจากมือถือหรือคอมพิวเตอร์ แอป VPN บนโน้ตบุ๊กรู้ว่าโปรแกรมไหนกำลังส่งข้อมูล แต่ Router เห็นแค่แพ็กเก็ต คือที่อยู่ต้นทาง ที่อยู่ปลายทาง และพอร์ต มันแยกไม่ออกว่าเบราว์เซอร์หรือเกมเป็นผู้ส่ง ทุกอย่างที่ทำบน Router จึงต้องเขียนด้วยเงื่อนไขเหล่านี้

สี่วิธีเลือกว่าอะไรผ่านอุโมงค์

1. เลือกตามอุปกรณ์ (ที่อยู่ต้นทาง)

วิธีที่พบบ่อยที่สุด คุณระบุที่อยู่ภายในของอุปกรณ์ที่ควรใช้อุโมงค์ หรือที่ควรข้าม เพราะ Router รู้จักอุปกรณ์จากที่อยู่ จึงต้องทำให้แต่ละเครื่องได้ที่อยู่เดิมตลอด ซึ่งจะกล่าวถึงต่อไป

2. เลือกตามกลุ่มเครือข่าย

แทนการไล่รายการอุปกรณ์ ให้สร้างสองเครือข่าย (เช่น LAN หลัก และอีก SSID หรือ VLAN หนึ่ง) แล้วใช้กฎอุโมงค์กับกลุ่มเดียว ใครต่อ Wi-Fi ชื่อนั้นก็อยู่ในอุโมงค์ ใครต่ออีกชื่อก็ไม่อยู่ วิธีนี้ใช้งานจริงง่ายกว่าการดูแลรายการที่อยู่

3. เลือกตามปลายทาง (รายการที่อยู่)

ส่งทราฟฟิกที่ไปยังช่วงที่อยู่ปลายทางที่เลือกเข้าอุโมงค์ ส่วนที่เหลือออกตรง หรือกลับกัน นิยมใช้เพื่อเข้าถึงเครือข่ายที่ทำงาน หรือเก็บบริการหนึ่งไว้บนเน็ตปกติ ใช้ได้ดีกับช่วงที่อยู่ที่นิ่งและชัดเจน แต่ใช้ไม่ดีกับเว็บสาธารณะขนาดใหญ่

4. เลือกตามพอร์ตหรือบริการ

กฎอาจจับคู่พอร์ตปลายทาง เช่น ส่งเฉพาะทราฟฟิกอีเมลหรือพอร์ตบริการหนึ่งเข้าอุโมงค์ แม่นยำแต่แคบ เพราะทราฟฟิกสมัยนี้ใช้พอร์ตร่วมกันเป็นส่วนใหญ่ (เว็บเกือบทั้งหมดอยู่พอร์ตเดียวกัน) จึงไม่ค่อยเป็นวิธีที่ใช้แยกสิ่งที่คนสนใจจริง

วิธี	เหมาะกับ	จุดอ่อน
ตามอุปกรณ์	ให้ทีวีหรือเครื่องเกมอยู่นอกอุโมงค์	ต้องมีที่อยู่คงที่
ตามกลุ่มเครือข่าย	ครอบครัวและออฟฟิศเล็ก	ต้องมี SSID หรือ VLAN เพิ่ม
ตามปลายทาง	เข้าที่ทำงานหรือบริการที่คงที่	เว็บใหญ่เปลี่ยนที่อยู่
ตามพอร์ต	บริการเฉพาะ	ทราฟฟิกส่วนใหญ่ใช้พอร์ตไม่กี่ตัว

ขั้นตอนการตั้งค่าเลน

ขั้นที่ 1 ทำให้อุปกรณ์มีที่อยู่คงที่

กฎตามอุปกรณ์ทุกข้อขึ้นกับการที่อุปกรณ์ได้ที่อยู่เดิม Router แจกที่อยู่ด้วย DHCP และถ้าไม่ตั้งอะไร ที่อยู่อาจเปลี่ยนเมื่อสัญญาเช่าหมด ก่อนเขียนกฎ ให้ทำดังนี้

1. เปิดรายการอุปกรณ์ที่เชื่อมต่อบน Router จดชื่อและที่อยู่ฮาร์ดแวร์ (MAC) ของแต่ละเครื่อง
2. สร้าง DHCP reservation ให้ทุกอุปกรณ์ที่จะเอ่ยถึงในกฎ เพื่อให้ Router แจกที่อยู่เดิมเสมอ
3. รีบูตหรือต่อเครือข่ายใหม่ แล้วตรวจว่าที่อยู่ตรงกับที่จอง
4. จดตารางไว้ ได้แก่ อุปกรณ์ ที่อยู่ และเลนที่ใช้

มือถือบางรุ่นใช้ที่อยู่ฮาร์ดแวร์แบบสุ่มต่อเครือข่าย Wi-Fi ถ้ามือถือได้ที่อยู่ใหม่ตลอด ให้ปิดการสุ่มที่อยู่สำหรับเครือข่ายบ้านของคุณบนเครื่องนั้น มิฉะนั้นการจองจะไม่มีวันตรงกัน

ขั้นที่ 2 กำหนดเลน

บ้านส่วนใหญ่ต้องการเพียงสองเลน เขียนไว้ก่อนแตะ Router

• เลนอุโมงค์ โน้ตบุ๊ก มือถือ และแท็บเล็ตที่ใช้อีเมล ช้อปปิ้ง หรือทำงานจากเครือข่ายบ้าน และอุปกรณ์ที่คุณไม่อยากให้ผู้ให้บริการอินเทอร์เน็ตอ่านทราฟฟิก
• เลนออกตรง อุปกรณ์ที่ทำงานผิดปกติในอุโมงค์ อุปกรณ์ที่ต้องถูกเข้าถึงจากภายนอก อุปกรณ์ที่ใช้เฉพาะในวงภายใน และอุปกรณ์ที่ความเร็วมีค่ากว่าการซ่อนที่อยู่

เลนที่สาม "เลนงาน" มีประโยชน์เมื่อโน้ตบุ๊กของนายจ้างใช้ VPN ของบริษัทอยู่แล้ว การรัน VPN ซ้อนบนอุโมงค์เป็นไปได้ แต่อาจช้าลงและบางครั้งล้มเหลว การวางโน้ตบุ๊กนั้นในเลนออกตรงหรือเครือข่ายของมันเองมักสะอาดกว่า

ขั้นที่ 3 สร้างกฎตามลำดับที่ถูกต้อง

ชื่อเมนูต่างกันไป จึงอธิบายเป็นตรรกะ ให้ดูชื่อจริงจากเอกสารเฟิร์มแวร์

1. สร้างหรือยืนยันเส้นทางอุโมงค์ VPN client ควรเปิดตาราง routing แยกหรืออินเทอร์เฟซที่ Router เลือกใช้ได้
2. ปิดค่าเริ่มต้น "ส่งทุกอย่างผ่าน VPN" เฟิร์มแวร์หลายตัวมีสวิตช์เดียวสำหรับเรื่องนี้ เมื่อใช้ Policy Routing ให้ใช้กฎแทนสวิตช์นั้น
3. เพิ่มกฎของเลนอุโมงค์ ทุกอุปกรณ์หรือกลุ่ม ระบุต้นทาง ปลายทาง "ทุกที่" และส่งผ่านอินเทอร์เฟซ VPN
4. ปล่อยเลนออกตรงบน default route ไม่ต้องทำอะไรพิเศษกับอุปกรณ์ที่ตั้งใจให้อยู่นอก
5. วางกฎเฉพาะไว้เหนือกฎทั่วไป กฎของที่อยู่เดียวต้องถูกอ่านก่อนกฎรวมทุกอย่าง ถ้ากฎทั่วไปมาก่อน กฎเฉพาะจะไม่ทำงาน
6. เพิ่มข้อยกเว้นสำหรับเครือข่ายภายใน ทราฟฟิกระหว่างอุปกรณ์ของคุณเอง เช่น มือถือแคสต์ไปทีวี ควรอยู่ในวงภายในและไม่เข้าอุโมงค์ เฟิร์มแวร์ส่วนใหญ่ทำให้เป็นค่าเริ่มต้นอยู่แล้ว แต่ควรตรวจ
7. บันทึกแล้วทดสอบแต่ละเลน วิธีทดสอบอยู่ในหัวข้อถัดไป

ทดสอบแต่ละเลน

ทดสอบด้วยอุปกรณ์หนึ่งเครื่องจากแต่ละเลน ไม่ใช่แค่เครื่องเดียว

1. บนอุปกรณ์ในเลนอุโมงค์ เปิดหน้าตรวจ IP ที่อยู่ที่เห็นควรเป็นของอุโมงค์ ไม่ใช่ที่ผู้ให้บริการอินเทอร์เน็ตให้ หากสับสน ดู IP สาธารณะคืออะไร
2. บนอุปกรณ์ในเลนออกตรง เปิดหน้าเดียวกัน ควรเห็นที่อยู่ปกติของคุณ
3. รันการทดสอบ DNS leak บนอุปกรณ์ในเลนอุโมงค์ และยืนยันว่า resolver ไม่ใช่ของผู้ให้บริการอินเทอร์เน็ต
4. แคสต์หรือพิมพ์ระหว่างอุปกรณ์ในเลนอุโมงค์กับอุปกรณ์ภายใน แล้วดูว่าเครือข่ายภายในยังใช้ได้
5. รีสตาร์ต Router แล้วทำซ้ำข้อ 1 และ 2 เพราะกฎบางข้อไม่โหลดตอนเริ่มระบบ

สำหรับรายการตรวจที่กว้างกว่านี้ ดูตรวจสอบว่า VPN ทำงานอยู่หรือไม่ ซึ่งอธิบายความหมายของผลแต่ละแบบ

DNS ส่วนที่ผิดพลาดเงียบ ๆ

Policy Routing ตัดสินว่าแพ็กเก็ตไปทางไหน แต่คำขอ DNS ก็เป็นแพ็กเก็ตเช่นกัน ถ้าอุปกรณ์ในเลนอุโมงค์ถาม DNS server ที่อยู่นอกอุโมงค์ ชื่อเว็บที่เข้าก็ปรากฏต่อเซิร์ฟเวอร์นั้น แม้ทราฟฟิกของหน้าเว็บจะถูกซ่อน มีสองกรณีที่ทำให้เกิดเรื่องนี้

• Router แจก DNS server ตัวเดียวให้ทุกเครื่อง และเซิร์ฟเวอร์นั้นเข้าถึงผ่านเส้นทางปกติ
• อุปกรณ์ใช้ DNS ที่ตั้งเองในการตั้งค่าเครือข่ายของเครื่อง ซึ่งไม่สนใจตัวเลือกของ Router

วิธีที่เรียบร้อยคือทำให้ DNS server ที่แจกให้อุปกรณ์ในเลนอุโมงค์เข้าถึงได้ผ่านอุโมงค์ และให้อุปกรณ์เลนออกตรงใช้ DNS ปกติ บทความเรื่อง split DNS อธิบายว่าทำไมเส้นทางกับ name server ที่ไม่ตรงกันจึงทำให้เว็บแสดงผลแปลก ๆ เช่นโหลดเวอร์ชันของภูมิภาคที่ไม่คาดคิด สำหรับอุปกรณ์เลนออกตรงไม่มีอะไรต้องปกป้อง ใช้ DNS ปกติได้

สามสถานการณ์ตัวอย่าง

บ้านที่มีทีวี เครื่องเกม และมือถือสี่เครื่อง ทุกคนอยากให้มือถือและโน้ตบุ๊กได้รับการปกป้อง แต่แอปทีวีฟ้องข้อผิดพลาดทุกครั้งที่เปิดอุโมงค์ และเครื่องเกมหน่วงมาก ผู้ปกครองจองที่อยู่ให้ทีวีกับเครื่องเกม วางมือถือและโน้ตบุ๊กไว้ใน Wi-Fi หลักที่อยู่เลนอุโมงค์ และสร้างชื่อ Wi-Fi ที่สองให้ทีวีกับเครื่องเกมอยู่เลนออกตรง หลังจากนั้นไม่ต้องไล่รายการด้วยมืออีก เพราะกลุ่มเครือข่ายเป็นตัวกำหนดเลน การให้ทีวีใช้เน็ตปกติยังเลี่ยงปัญหา VPN บนสมาร์ททีวีได้ตั้งแต่ต้นเหตุ

ออฟฟิศที่บ้านกับโน้ตบุ๊กบริษัท ลีน่าทำงานกับบริษัทที่แจกโน้ตบุ๊กพร้อม VPN ของบริษัท เธออยากให้มือถือและแท็บเล็ตส่วนตัวได้รับการปกป้อง แต่ไม่อยากให้โน้ตบุ๊กงานรันสองอุโมงค์ซ้อนกัน เธอจองที่อยู่ของโน้ตบุ๊กและเพิ่มกฎให้ใช้เส้นทางออกตรง VPN ของบริษัททำงานบนเน็ตปกติ ส่วนอุปกรณ์ส่วนตัวใช้อุโมงค์ของ Router

ห้องเช่าที่ใช้ Router ร่วมกัน เพื่อนร่วมห้องสี่คนใช้เน็ตเส้นเดียว คนหนึ่งอยากมีความเป็นส่วนตัวจากผู้ให้บริการอินเทอร์เน็ต คนอื่นไม่สนใจ และมีคนหนึ่ง Stream หนักมาก พวกเขาตกลงสร้าง SSID แยกที่ใช้กฎอุโมงค์ ให้เฉพาะคนที่ต้องการต่อเครือข่ายนั้น คนอื่นใช้เครือข่ายเดิมและความเร็วไม่ถูกกระทบ

ข้อจำกัดและข้อแลกเปลี่ยน

• ยกเว้นแปลว่าเปิดเผย อุปกรณ์ในเลนออกตรงใช้ IP สาธารณะปกติของคุณ และผู้ให้บริการอินเทอร์เน็ตเห็นปลายทางของมัน อย่าย้ายอุปกรณ์ไปเลนออกตรงเพียงเพราะรำคาญ ให้ถามก่อนว่ายอมรับความเสี่ยงได้หรือไม่
• ค่าเริ่มต้นแบบ fail open เมื่ออุโมงค์หลุด อุปกรณ์ในเลนอุโมงค์อาจกลับไปใช้เส้นทางปกติ เว้นแต่คุณสร้างกฎบล็อกไว้ด้วย การแยกเลนไม่ได้ทำให้ไม่จำเป็นต้องมีกฎนั้น
• กฎตามชื่อโดเมนไม่เสถียร เว็บใหญ่ใช้หลายที่อยู่ที่เปลี่ยนได้ รายการที่ทำวันนี้อาจผิดในเดือนหน้า ถือว่าทำได้เท่าที่ทำได้
• ความเร็วใช้ร่วมกัน อุปกรณ์ทุกเครื่องในเลนอุโมงค์ใช้อุโมงค์เดียวและพลังประมวลผลของ Router เดียว Router รุ่นล่างอาจช้าลงเมื่อหลายเครื่อง Stream พร้อมกัน ดูทำไมความเร็วเน็ตเปลี่ยนเมื่อใช้ VPN
• แยกระดับแอปไม่ได้ คุณส่งแอปหนึ่งบนมือถือเข้าอุโมงค์และอีกแอปไม่เข้าผ่าน Router ไม่ได้ ต้องใช้ตัวเลือกระดับแอปบนมือถือ
• เฟิร์มแวร์ต่างกัน เฟิร์มแวร์ระดับผู้บริโภคบางตัวมีแค่สวิตช์เปิดทั้งหมดหรือปิดทั้งหมด หาก Router ไม่มี Policy Routing อาจต้องใช้เฟิร์มแวร์อื่นหรืออุปกรณ์เพิ่ม

แก้ปัญหา

อุปกรณ์ที่ยกเว้นไว้ยังแสดงที่อยู่ของอุโมงค์ หากฎทั่วไปที่อยู่เหนือกฎเฉพาะ ที่อยู่อุปกรณ์ที่เปลี่ยน หรือเครือข่ายที่สองที่ใช้ค่าเริ่มต้น ตรวจการจองที่อยู่อีกครั้ง

อุปกรณ์ที่รวมไว้แสดงที่อยู่ปกติ กฎไม่โหลด ที่อยู่เปลี่ยน หรืออุโมงค์ดับตอนกฎถูกประเมิน รีสตาร์ต VPN client แล้วรีสตาร์ต Router

การพิมพ์หรือแคสต์ในบ้านใช้ไม่ได้ ขาดข้อยกเว้นเครือข่ายภายใน เพิ่มกฎให้ทราฟฟิกระหว่างช่วงที่อยู่ส่วนตัวไม่เข้าอุโมงค์

เว็บในเลนอุโมงค์ทำงานแปลก ๆ เทียบการตั้งค่า DNS ความไม่ตรงกันระหว่างเส้นทางของแพ็กเก็ตกับ resolver ที่ตอบเป็นสาเหตุปกติ

ช้าทุกอย่าง เลนอุโมงค์อาจรับภาระมากเกินไป ย้ายอุปกรณ์ Stream หนักไปเลนออกตรง หรือดูทำไม VPN ช้า

ความผิดพลาดที่พบบ่อย

• เขียนกฎตามที่อยู่โดยไม่จองที่อยู่
• เปิดสวิตช์ "ส่งทุกอย่างผ่าน VPN" ค้างไว้ ทั้งที่เพิ่มกฎด้วย
• วางกฎครอบคลุมทุกอย่างไว้เหนือกฎเฉพาะ
• ลืม DNS ทำให้อุปกรณ์ในอุโมงค์ยังถาม resolver ของผู้ให้บริการ
• ยกเว้นอุปกรณ์สำคัญเพราะง่ายกว่าการแก้ปัญหา
• เข้าใจว่า Router แยกตามแอปได้

สรุป

Split Tunneling บน Router ทำด้วย Policy Routing คือกฎที่เลือกเส้นทางตามอุปกรณ์ กลุ่มเครือข่าย ปลายทาง หรือพอร์ต ทำให้อุปกรณ์มีที่อยู่คงที่ กำหนดเลนอุโมงค์กับเลนออกตรง เรียงกฎจากเฉพาะไปทั่วไป ให้ทราฟฟิกภายในอยู่ในวงภายใน และจับคู่ DNS กับเส้นทาง ทดสอบแต่ละเลนหลังตั้งค่าและหลังรีสตาร์ต และจำไว้ว่าสิ่งที่อยู่นอกอุโมงค์จะไม่ได้รับการป้องกันจากอุโมงค์

หากต้องการลองตั้งค่า Router ด้วยพาสแบบเติมเงิน ดูตัวเลือกได้ที่หน้าราคา และดูวิธีเชื่อมต่อที่ใช้ได้บนหน้า My Pass