Split Tunnel กับ Full Tunnel VPN ต่างกันอย่างไร

แอป VPN เกือบทุกตัวมีสวิตช์ที่ชื่อชวนงงอยู่ตัวหนึ่ง คือ Split Tunneling เบื้องหลังสวิตช์นี้คือการตัดสินใจพื้นฐานที่เก่าแก่ที่สุดข้อหนึ่งของเครือข่าย VPN คุณจะส่งทราฟฟิกทั้งหมดผ่านอุโมงค์เข้ารหัส ซึ่งเรียกว่า Full Tunnel หรือจะส่งเพียงบางส่วน ซึ่งเรียกว่า Split Tunnel แต่ละคำตอบปกป้องบางอย่างและเปิดเผยบางอย่าง

บทความนี้พูดถึงการเลือกนี้ในฐานะการตัดสินใจด้านความปลอดภัย ไม่ใช่รายการฟีเจอร์ เราดูว่าแต่ละโหมดซ่อนอะไรและเปิดเผยอะไร ความผิดพลาดเฉพาะที่เกิดในแต่ละแบบ และวิธีเลือกตามอุปกรณ์ แอป และเครือข่าย หากต้องการนิยามพื้นฐานของฟีเจอร์ก่อน ให้อ่าน Split Tunneling คืออะไร แล้วกลับมาที่นี่

สองโหมดในภาพเดียว

ในโหมด Full Tunnel อุปกรณ์ของคุณส่งทุกแพ็กเก็ตไปยังเซิร์ฟเวอร์ VPN ก่อน เบราว์เซอร์ อีเมล การอัปเดตเบื้องหลัง แอปแชต บริการของระบบ และเกม ไปทางเดียวกันทั้งหมด เครือข่ายในพื้นที่เห็นเพียงสายข้อมูลที่เข้ารหัสสายเดียว ไม่เห็นอย่างอื่น

ในโหมด Split Tunnel อุปกรณ์มีสองเส้นทางพร้อมกัน ทราฟฟิกบางส่วนเข้าไปใน VPN และบางส่วนออกทางการเชื่อมต่อปกติ หรือที่เรียกว่าเส้นทางตรง ส่วนไหนไปทางไหนขึ้นกับกฎ รูปแบบกฎที่พบบ่อยมีสามแบบ

• ตามแอป คุณเลือกแอปที่ให้เข้าอุโมงค์ หรือแอปที่ให้อยู่นอกอุโมงค์
• ตามปลายทาง ช่วง IP หรือโดเมนบางส่วนใช้อุโมงค์ ที่เหลือไปทางตรง หรือกลับกัน ที่ทำงานมักใช้แบบนี้
• ตามเครือข่าย VPN เปิดหรือปิดตามเครือข่าย Wi-Fi ที่คุณเชื่อมอยู่

มีสองวลีที่สับสนง่าย การแยกแบบ "ยกเว้น" (exclude หรือ inverse) หมายถึงทุกอย่างผ่าน VPN ยกเว้นรายการที่คุณระบุ ส่วนการแยกแบบ "รวมเฉพาะ" (include) หมายถึงไม่มีอะไรผ่าน VPN ยกเว้นรายการที่คุณระบุ ความหมายด้านความปลอดภัยตรงข้ามกัน รายการยกเว้นเริ่มจากสถานะปลอดภัยแล้วเพิ่มข้อยกเว้น ส่วนรายการรวมเฉพาะเริ่มจากสถานะเปิดแล้วค่อย ๆ เพิ่มการปกป้องทีละส่วน

แต่ละโหมดเปิดเผยอะไร

รายการ	Full Tunnel	Split Tunnel
ทราฟฟิกบนเครือข่ายร้านกาแฟที่ใช้ร่วมกัน	ถูกห่อในอุโมงค์ทั้งหมด	ห่อเฉพาะส่วนที่เข้าอุโมงค์
เครือข่ายในพื้นที่เห็นเว็บไซต์ไหนบ้าง	ไม่เห็น เห็นแค่เซิร์ฟเวอร์ VPN	เห็นปลายทางของทราฟฟิกที่ไปทางตรง
IP จริงของคุณที่เว็บไซต์เห็น	ซ่อนในทุกแอป	เห็นสำหรับแอปที่อยู่นอกอุโมงค์
ผลเมื่อแอปหนึ่งรั่ว	ถูกจำกัดไว้	อาจเผย IP จริงหรือตำแหน่งของคุณ
ความเสี่ยงจากกฎที่ตั้งผิด	ต่ำ	สูงกว่า กฎอาจผิดหรือล้าสมัย
อุปกรณ์ในบ้าน (เครื่องพิมพ์ NAS ทีวี)	มักเข้าถึงไม่ได้เป็นค่าเริ่มต้น	เข้าถึงได้เมื่อส่งทราฟฟิกในเครือข่ายภายในไปทางตรง
ความเร็วของแอปที่ถูกยกเว้น	ช้ากว่า เพราะผ่าน VPN	ความเร็วปกติ
การพึ่งเซิร์ฟเวอร์ VPN ตัวเดียว	ทุกอย่างพึ่งตัวนี้	เฉพาะส่วนที่เข้าอุโมงค์

ประเด็นหลักคือ ในโหมดแยก คุณต้องถูกต้องในทุกกฎ ส่วนใน Full Tunnel คุณต้องถูกต้องเพียงอย่างเดียว คืออุโมงค์เปิดอยู่หรือไม่

เหตุผลด้านความปลอดภัยสำหรับ Full Tunnel

ข้อโต้แย้งของ Full Tunnel เรียบง่าย คือไม่เหลือเส้นทางปกติใดออกจากอุปกรณ์ได้ นอกจากผ่าน VPN

1. มีจุดพลาดน้อยกว่า ไม่มีกฎรายแอปให้ลืม ไม่มีรายการที่ล้าสมัยเมื่อแอปอัปเดตหรือเปลี่ยนชื่อ
2. ปกป้องทราฟฟิกเบื้องหลัง แอปส่งข้อมูลออกไปโดยที่คุณไม่ได้เปิดใช้ ตัวอัปเดต บริการซิงก์ ระบบวิเคราะห์ และบริการแจ้งเตือนถูกครอบคลุมด้วย
3. พฤติกรรมสม่ำเสมอบนเครือข่ายที่ใช้ร่วมกัน บน Wi-Fi ของโรงแรม สนามบิน และร้านกาแฟ ไม่มีสิ่งใดจากเครื่องของคุณเดินข้ามห้องแบบไม่เข้ารหัส
4. ฐานที่สะอาดกว่าสำหรับ kill switch เมื่อ kill switch บล็อกทราฟฟิกหากอุโมงค์หลุด กฎจะเรียบง่าย คือบล็อกทุกอย่างที่ไม่ผ่านอุโมงค์ ซึ่งคิดยากกว่าเมื่อมีทราฟฟิกบางส่วนที่ตั้งใจให้ไปทางตรง
5. ภาพของ DNS ชัดเจนกว่า การค้นหาชื่อทั้งหมดผ่านตัวแปลงชื่อของ VPN ช่วยหลีกเลี่ยง DNS รั่ว

Full Tunnel มีต้นทุนเช่นกัน ทราฟฟิกจำนวนมากผ่านเซิร์ฟเวอร์เดียว ความเร็วจึงลดแม้ในงานที่ไม่จำเป็นต้องป้องกัน อุปกรณ์ในบ้านบางอย่างใช้งานไม่ได้ เช่น เครื่องพิมพ์เครือข่าย อุปกรณ์แคสต์ หรือหน้าตั้งค่าเราเตอร์ อาจหายไปเมื่ออุโมงค์เปิดอยู่ และแอปธนาคาร การชำระเงิน หรือแอปที่ทำงานบางตัวสงสัยที่อยู่ IP ของ VPN แล้วไม่ยอมเปิด

เหตุผลด้านความปลอดภัยสำหรับ Split Tunnel

Split Tunnel ไม่ใช่เพียงฟีเจอร์เพื่อความสะดวก สำหรับบางงาน มันเป็นการออกแบบที่ปลอดภัยและสมเหตุสมผลกว่า

• ลดพื้นที่เสี่ยงของอุโมงค์ในองค์กร บริษัทอาจต้องการให้เฉพาะทราฟฟิกไปยังระบบภายในผ่าน VPN การส่งความบันเทิงและการท่องเว็บส่วนตัวของพนักงานทุกคนผ่านเกตเวย์ของบริษัท เพิ่มภาระ ข้อมูลล็อก และความเสี่ยงโดยไม่มีประโยชน์
• ให้บริการในเครือข่ายภายในยังเข้าถึงได้ เครื่องพิมพ์ ลำโพงอัจฉริยะ และที่แชร์ไฟล์ในเครือข่ายของคุณต้องการทางตรง กฎที่ส่งเฉพาะปลายทางของงานผ่านอุโมงค์ทำให้ทั้งสองอย่างอยู่ร่วมกันได้
• ให้แอปที่ละเอียดอ่อนทำงานเป็นปกติ แอปธนาคารที่ไม่ชอบที่อยู่ VPN อาจทำงานได้ดีเมื่อไปทางตรงบนเครือข่ายที่คุณไว้ใจ ขณะที่ทราฟฟิกอื่นยังได้รับการปกป้อง
• รักษาความตอบสนองของแอปที่ไวต่อความหน่วง วิดีโอคอลและเกมเสียหายเมื่อมีจุดผ่านเพิ่ม ดังที่เห็นในเรื่อง ความเร็ว VPN ที่เปลี่ยนไป การยกเว้นแอปเหล่านี้เป็นการแลกที่สมเหตุสมผลบนเครือข่ายบ้านที่ไว้ใจได้

ความเสี่ยงอยู่ที่ส่วนที่อยู่นอกอุโมงค์ สิ่งที่ถูกยกเว้นมีความเสี่ยงเหมือนไม่ได้เปิด VPN เลย ซึ่งไม่เป็นไรสำหรับแอปทีวีบนเราเตอร์ของคุณเอง แต่ไม่ดีสำหรับแอปอีเมลบน Wi-Fi สนามบิน

Split Tunnel รั่วตรงไหนได้บ้าง

เหตุการณ์ Split Tunnel ส่วนใหญ่มาจากสาเหตุไม่กี่อย่างเดิม ๆ

• DNS ถูกจัดการแยกต่างหาก ถ้าการค้นหาชื่อไปทางเครือข่ายปกติ ขณะที่ทราฟฟิกหน้าเว็บผ่าน VPN ผู้ดูแลเครือข่ายก็ยังเห็นทุกโดเมนที่คุณถาม ให้หาตัวเลือกที่ส่ง DNS ผ่านอุโมงค์ และดู Split DNS หากการตั้งค่าของคุณแยกสองส่วนนี้ออกจากกัน
• IPv6 ไม่ถูกครอบคลุม บางอุโมงค์รองรับเฉพาะ IPv4 หากเว็บไซต์เข้าถึงได้ทาง IPv6 และอุโมงค์ไม่จัดการ ที่อยู่จริงของคุณอาจถูกเผย
• แอปที่สร้างโพรเซสช่วย เบราว์เซอร์ ตัวเปิดเกม หรือแอปแชตอาจเปิดโพรเซสเสริมหรือหน้าต่างเบราว์เซอร์ฝังตัว ถ้าในกฎมีเฉพาะโพรเซสหลัก บางส่วนของแอปอาจข้ามอุโมงค์
• แอปที่อัปเดตแล้วชื่อหรือพาธเปลี่ยน กฎที่ตรงกับไฟล์เดิมจะหยุดทำงานหลังอัปเดต
• เปลี่ยน Wi-Fi ย้ายจากบ้านไปร้านกาแฟโดยไม่เปลี่ยนกฎ ทำให้แอปที่ถูกยกเว้นอยู่บนเครือข่ายที่ไม่น่าไว้ใจ
• ความพึงพอใจของเส้นทางภายใน เส้นทางสำหรับ 192.168.1.0/24 ทำให้เครือข่ายภายในเข้าถึงได้ ถ้าเครือข่ายที่เป็นอันตรายหรือตั้งค่าผิดใช้ช่วงที่อยู่เดียวกัน ทราฟฟิกที่ตั้งใจส่งเข้า VPN อาจไปที่เครื่องในเครือข่ายแทน เกิดน้อยแต่เป็นไปได้จริง

ไม่มีข้อใดต้องอาศัยการโจมตีแปลก ๆ เป็นเพียงการตั้งค่าธรรมดาที่ไม่มีใครทบทวน

วิธีเลือก: แนวทางตัดสินใจ

แทนที่จะตัดสินใจครั้งเดียว ให้ตัดสินใจตามสถานการณ์

สถานการณ์	โหมดที่แนะนำ	เหตุผล
Wi-Fi โรงแรม สนามบิน ร้านกาแฟ	Full Tunnel	เครือข่ายไว้ใจไม่ได้ ลดการเปิดเผยให้มากที่สุด
Wi-Fi บ้าน และต้องการความเป็นส่วนตัวจากผู้ให้บริการอินเทอร์เน็ต	Full Tunnel	ซ่อนปลายทางจากผู้ให้บริการ
ที่บ้าน แอปธนาคารไม่ยอมเปิดเมื่อมี VPN	Split โดยยกเว้นแอปนั้น	ข้อยกเว้นระยะสั้นบนเครือข่ายที่ไว้ใจ
ที่บ้าน ต้องใช้เครื่องพิมพ์และ NAS ขณะเปิด VPN	Split พร้อมอนุญาตเครือข่ายภายใน	ทางตรงเฉพาะทราฟฟิกภายใน
โน้ตบุ๊กที่ทำงานและ VPN ของนายจ้าง	ตามที่นายจ้างกำหนด	นโยบายเป็นของนายจ้าง ไม่ใช่ของคุณ
เน็ตมือถือในพื้นที่สัญญาณอ่อน	Full Tunnel แล้วทดสอบก่อน	เพิ่มข้อยกเว้นเฉพาะเมื่อแอปมีปัญหา
เล่นเกมออนไลน์บนเครือข่ายบ้านที่ไว้ใจ	Split โดยยกเว้นเกม	ความหน่วงต่ำลง ความเสี่ยงจากทราฟฟิกนี้ต่ำ

ถ้าต้องการเขียนกฎง่าย ๆ ของตัวเอง ให้เริ่มจาก Full Tunnel แล้วเพิ่มข้อยกเว้นทีละอย่าง เฉพาะเมื่อมีเหตุผลที่ระบุได้และทบทวนแล้วเท่านั้น

วิธีสร้างกฎ Split อย่างปลอดภัยทีละขั้น

1. เริ่มจาก Full Tunnel และยืนยันว่าใช้งานได้ เปิดเว็บและแอปสองสามอย่างว่าไม่มีอะไรเสีย
2. ระบุว่าอะไรพังจริง จดแอปหรืออุปกรณ์เดียวที่มีปัญหา อย่ายกเว้นล่วงหน้า
3. ยกเว้นทีละรายการ หลังเปลี่ยนแต่ละครั้ง ทดสอบซ้ำในจุดที่เคยพัง
4. ตรวจ DNS และ IP ใช้ วิธีทดสอบการรั่ว ขณะเปิด VPN และข้อยกเว้นทำงานอยู่
5. จดเครือข่าย เขียนว่า "ใช้ที่บ้านเท่านั้น" ข้างกฎที่คุณไม่อยากให้ใช้บน Wi-Fi สาธารณะ
6. ทบทวนหลังแอปอัปเดตทุกครั้ง ตรวจว่ากฎยังตรงกับแอป
7. ลบข้อยกเว้นเมื่อเหตุผลหมดไป กฎชั่วคราวที่อยู่ตลอดกาลจะกลายเป็นช่องรั่วถาวร

สามสถานการณ์ตัวอย่าง

พนักงานทำงานจากบ้านที่มีเครื่องพิมพ์ อรุณทำงานที่บ้าน เชื่อมต่อ VPN เพื่อเข้าระบบลูกค้า และพิมพ์ใบแจ้งหนี้ผ่านเครื่องพิมพ์ไร้สาย เมื่อใช้ Full Tunnel เครื่องพิมพ์หายไปทุกครั้งที่เปิด VPN เธอจึงเปลี่ยนเป็นกฎที่ส่งเฉพาะช่วงที่อยู่ของลูกค้าผ่านอุโมงค์ และปล่อยเครือข่ายภายในไปทางตรง ผลคือทราฟฟิกของลูกค้าปลอดภัย การพิมพ์สะดวก และเธอไม่ต้อง Stream เพลงหรือวิดีโอผ่าน VPN เลย แต่เมื่อไปทำงานที่ร้านกาแฟ เธอเปลี่ยนกลับเป็น Full Tunnel บนแล็ปท็อป

นักศึกษาในหอพัก เคนใช้เครือข่ายหอพักร่วมกับคนนับร้อย เขาเปิด Full Tunnel ตลอดเวลา แอปธนาคารของมหาวิทยาลัยไม่ยอมเปิดเมื่อ VPN ทำงาน เขาปิด VPN เฉพาะการชำระเงินครั้งเดียว ทำรายการผ่านเน็ตมือถือของโทรศัพท์ แล้วเปิดกลับ เขาไม่ได้ตั้งข้อยกเว้นถาวรบนเครือข่ายที่ใช้ร่วมกัน

พ่อแม่ที่มีสมาร์ททีวี มายใช้ VPN บนโทรศัพท์และแล็ปท็อป แต่แอปทีวีที่ครอบครัวดูวิดีโอต้องใช้เครือข่ายบ้าน เธอปล่อยทีวีไว้นอก VPN เพราะเป็นอุปกรณ์แยกบนเราเตอร์ของเธอเอง และใช้ Full Tunnel บนโทรศัพท์ทุกครั้งที่ออกนอกบ้าน

ความผิดพลาดที่พบบ่อย

• ใช้ Split Tunnel เป็นค่าเริ่มต้นบน Wi-Fi สาธารณะ
• ยกเว้นเบราว์เซอร์ แล้วลืมว่ากิจกรรมส่วนใหญ่ของคุณเกิดในเบราว์เซอร์นั้น
• สมมติว่า "VPN เปิดอยู่" แปลว่าทุกอย่างถูกครอบคลุม
• ปล่อยข้อยกเว้นเรื่องความเร็วไว้หลังย้ายจากบ้านไปเครือข่ายที่ใช้ร่วมกัน
• ไม่เคยทดสอบ DNS หรือ IPv6 หลังเปลี่ยนกฎ
• ถือว่า VPN เป็นไฟร์วอลล์ ดูความต่างใน VPN ต่างจากแอนติไวรัสและไฟร์วอลล์อย่างไร

สรุป

Full Tunnel เป็นค่าเริ่มต้นที่ปลอดภัยกว่า เพราะส่งทุกอย่างผ่าน VPN และเหลือจุดผิดพลาดน้อย Split Tunnel เป็นการแลกอย่างตั้งใจเพื่อความเข้ากันได้และความเร็ว ซึ่งยอมรับได้บนเครือข่ายที่ไว้ใจสำหรับข้อยกเว้นแคบ ๆ ที่ระบุชื่อได้ และเสี่ยงบนเครือข่ายที่ใช้ร่วมกัน ให้ตัดสินใจตามสถานการณ์ เปลี่ยนทีละกฎ และทดสอบ DNS กับ IP ทุกครั้งหลังเปลี่ยน เป้าหมายไม่ใช่การหาโหมดที่ป้องกันมากที่สุดในทางทฤษฎี แต่คือการรู้แน่ชัดว่าทราฟฟิกส่วนไหนของคุณได้รับการปกป้องในแต่ละช่วงเวลา

หากพาสระยะสั้นแบบจ่ายล่วงหน้าสะดวกสำหรับลองทั้งสองโหมดบนอุปกรณ์ของคุณเอง ดูตัวเลือกปัจจุบันได้ที่ หน้าราคา