VPN กับ SSH Tunnel ต่างกันอย่างไร

นักพัฒนา ผู้ดูแลระบบ และผู้ใช้ตามบ้านที่อยากลองเล่นมักเจอคำถามเดียวกันไม่ช้าก็เร็ว ต้องใช้ VPN เพื่อเข้าเซิร์ฟเวอร์ของตัวเอง หรือแค่ SSH tunnel ก็พอ ทั้งสองอย่างเข้ารหัสเส้นทางบนเครือข่ายที่ไว้ใจไม่ได้ และทั้งสองถูกเรียกว่าอุโมงค์เหมือนกัน แต่ทำงานคนละชั้น ครอบคลุมทราฟฟิกต่างกัน และเหมาะกับงานต่างกัน ถ้าสับสนก็จะได้การตั้งค่าที่ยุ่งเกินจำเป็น หรือเข้าใจผิดว่าทุกอย่างได้รับการปกป้องทั้งที่ปกป้องเพียงแอปเดียว

บทความนี้เปรียบเทียบ VPN กับ SSH tunnel ในฐานะวิธีเข้าถึงระยะไกลอย่างปลอดภัย อธิบายแต่ละแบบด้วยภาษาง่าย ๆ แสดงการ forward ของ SSH สามแบบหลัก เทียบในตาราง และให้หลักเลือก โดยสมมติว่าคุณต้องการเข้าระบบที่เป็นของคุณหรือที่คุณได้รับอนุญาตให้ใช้ ถ้าอยากทบทวนแนวคิดของอุโมงค์ก่อน อ่านบทความ อุโมงค์ VPN คืออะไร สั้น ๆ ได้

SSH tunnel คืออะไรกันแน่

SSH ย่อมาจาก Secure Shell เป็นโปรโตคอลสำหรับล็อกอินเข้าเครื่องระยะไกลและสั่งงานผ่านการเชื่อมต่อที่เข้ารหัส คุณสมบัติที่หลายคนไม่ทันสังเกตคือ การเชื่อมต่อที่เข้ารหัสเส้นเดียวกันนี้พาทราฟฟิกอื่นไปได้ด้วย เมื่อใช้แบบนี้ คนเรียกว่า SSH tunnel หรือ port forwarding

แนวคิดง่ายมาก คุณเปิดการเชื่อมต่อ SSH หนึ่งเส้นไปยังเซิร์ฟเวอร์ที่ล็อกอินได้ แล้วขอให้ SSH พาทราฟฟิกของพอร์ตหรือโปรแกรมอื่นไปในเส้นนั้น เครือข่ายตรงกลางเห็นเป็นเซสชัน SSH ที่เข้ารหัสเส้นเดียว อ่านข้างในไม่ได้ และไม่รู้ว่าคุณกำลังเข้าฐานข้อมูลหรือหน้าเว็บที่อยู่หลังเซิร์ฟเวอร์

การ forward สามแบบครอบคลุมการใช้งานส่วนใหญ่

local forwarding คุณเลือกพอร์ตบนเครื่องตัวเอง เช่น 5433 และปลายทางที่มองจากเซิร์ฟเวอร์ เช่น ฐานข้อมูลบนที่อยู่ส่วนตัวของเซิร์ฟเวอร์ เมื่อแอปของคุณเชื่อมต่อเครื่องตัวเองที่พอร์ต 5433 SSH จะพาการเชื่อมต่อผ่านอุโมงค์ และเซิร์ฟเวอร์จะเชื่อมต่อฐานข้อมูลแทนคุณ นี่คือวิธีคลาสสิกในการเข้าหน้าแอดมินหรือฐานข้อมูลที่ต้องไม่หันหน้าเข้าอินเทอร์เน็ต

remote forwarding ทิศทางกลับกัน คุณขอให้เซิร์ฟเวอร์เปิดพอร์ตรอรับ แล้วส่งสิ่งที่เข้ามากลับมายังบริการบนเครื่องของคุณ ใช้เมื่อต้องให้เครื่องระยะไกลเข้าถึงบางอย่างในเครื่อง เช่นเพื่อสาธิตงาน และต้องจำกัดอย่างระมัดระวังเพราะเปิดประตูเข้าเครื่องของคุณ

dynamic forwarding SSH ทำตัวเป็น SOCKS proxy บนเครื่องของคุณ แอปที่ตั้งค่าให้ใช้ proxy นั้นจะส่งทุกการเชื่อมต่อผ่านอุโมงค์ และเซิร์ฟเวอร์เป็นผู้เชื่อมต่อแทน นี่คือรูปแบบที่ใกล้ VPN ที่สุด แต่ใช้ได้เฉพาะโปรแกรมที่คุณตั้งค่าให้ใช้

ฟีเจอร์ที่เกี่ยวข้องอีกอย่างคือตัวเลือก jump ที่ให้คุณเข้าเครื่องภายในโดยผ่านเซิร์ฟเวอร์เกตเวย์ในคำสั่งเดียว ไม่ได้สร้างอุโมงค์ทั่วไป แต่ผู้ดูแลระบบหลายคนใช้เพื่อไม่ต้องเปิดเครื่องภายในออกตรง ๆ

ไม่มีรูปแบบใดสร้างอินเทอร์เฟซเครือข่ายใหม่บนคอมพิวเตอร์ของคุณ ทั้งหมดเป็นเครื่องมือส่งต่อการเชื่อมต่อที่เลือก นี่คือความต่างหลักจาก VPN

VPN ต่างออกไปอย่างไร

VPN ในความหมายนี้สร้างอินเทอร์เฟซเครือข่ายเสมือนบนอุปกรณ์ ระบบปฏิบัติการส่งทราฟฟิกเข้าอินเทอร์เฟซนั้นตามตารางเส้นทาง ซอฟต์แวร์ VPN เข้ารหัสแล้วพาไปยังเซิร์ฟเวอร์ VPN แอปไม่ต้องรู้เรื่อง เบราว์เซอร์ อีเมล แชต และตัวอัปเดตเบื้องหลัง ล้วนผ่านเส้นทางเดียวกัน เว้นแต่คุณตั้งข้อยกเว้น

ในทางปฏิบัติ VPN จึงต่างสี่ข้อ

• ครอบคลุมทั้งเครื่องโดยค่าเริ่มต้น ไม่ต้องตั้งค่าทีละแอป
• ทำงานที่ระดับเครือข่าย จึงพาโปรโตคอลได้หลายแบบ รวมถึงที่ SSH forwarding จัดการได้ไม่ดี เช่นทราฟฟิกแบบ UDP
• เชื่อมอุปกรณ์เข้าเครือข่ายส่วนตัวได้ ชื่อและที่อยู่ภายในจึงใช้งานเหมือนอยู่ในออฟฟิศ
• ออกแบบมาเพื่อหลายผู้ใช้ จัดการบัญชี คีย์ และนโยบายของทั้งทีมได้

ในทางกลับกัน VPN ต้องมีเซิร์ฟเวอร์และซอฟต์แวร์ทั้งสองฝั่ง ถ้าคุณแค่อยากเปิดหน้าเว็บภายในหน้าเดียวบนเครื่องที่ดูแลผ่าน SSH อยู่แล้ว อาจเป็นกลไกที่เกินงาน สำหรับคำอธิบายเทคโนโลยีโดยทั่วไป ดู ภาพรวม VPN ของ Cloudflare

เปรียบเทียบเคียงข้างกัน

คำถาม	SSH tunnel	VPN
ชั้นที่ทำงาน	การเชื่อมต่อระดับแอป (TCP forwarding)	ชั้นเครือข่าย (อินเทอร์เฟซเสมือน)
ครอบคลุมอะไร	เฉพาะพอร์ตหรือแอปที่ forward	ทั้งเครื่อง เว้นแต่ตั้งข้อยกเว้น
ต้องมีซอฟต์แวร์บนเซิร์ฟเวอร์	เซิร์ฟเวอร์ SSH ซึ่งคุณน่าจะรันอยู่แล้ว	เซิร์ฟเวอร์ VPN และการตั้งค่า
ต้องมีซอฟต์แวร์บนอุปกรณ์	SSH client มาตรฐาน	VPN client หรือแอป
ใช้ทั่วไป	บริการเดียวบนเซิร์ฟเวอร์เดียว เข้าแอดมินเร็ว ๆ	ปกป้องประจำวันและเข้าเครือข่ายส่วนตัว
จัดการ UDP และโปรโตคอลอื่น	ไม่ดีหรือทำไม่ได้กับ forwarding ธรรมดา	ได้ ในการออกแบบ VPN ทั่วไป
หลายผู้ใช้	ทำเอง คีย์และบัญชีรายคน	ออกแบบไว้แล้ว มีบัญชีส่วนกลาง
การค้นหา DNS	ครอบคลุมเฉพาะที่แอปส่งผ่าน proxy	ปกติครอบคลุม แต่ควรตรวจการรั่ว
ซ่อนทราฟฟิกจากเครือข่ายท้องถิ่น	เฉพาะการเชื่อมต่อที่ forward	ทราฟฟิกที่ถูกส่งผ่านทั้งหมด
แรงสำหรับงานครั้งเดียว	ต่ำมาก	ปานกลางถึงสูง
แรงสำหรับทีม	สูงในการดูแลให้เป็นระเบียบ	ต่ำลงเมื่อสร้างแล้ว

ตารางทำให้รูปร่างของการเลือกชัด ถ้าทำเรื่องเดียวอย่างรวดเร็ว SSH forwarding เบาและแม่นยำ ถ้าต้องการปกป้องต่อเนื่องหรือทั้งเครือข่าย VPN เป็นเครื่องมือที่แข็งแรงกว่า

เมื่อ SSH tunnel เหมาะกว่า

SSH tunnel เป็นคำตอบที่ดีในหลายกรณีประจำวัน

1. เข้าฐานข้อมูลหรือหน้าแอดมินบนเซิร์ฟเวอร์ที่คุณดูแล บริการรอรับเฉพาะที่อยู่ภายในของเซิร์ฟเวอร์ คุณ forward พอร์ต ทำงาน แล้วปิดการเชื่อมต่อ ไม่มีอะไรเปิดสู่อินเทอร์เน็ต
2. งานครั้งเดียวบนเซิร์ฟเวอร์ที่ไว้ใจ ไม่ต้องติดตั้ง VPN เพื่องานห้านาที
3. นักพัฒนาทดสอบบริการบนเครื่องระยะไกล forward พอร์ตให้เบราว์เซอร์ในเครื่องคุยกับบริการที่กำลังพัฒนา
4. เข้าเครื่องภายในผ่านเกตเวย์ ด้วยตัวเลือก jump คุณเข้าเครื่องที่เข้าตรง ๆ ไม่ได้โดยไม่ต้องเปิดบริการเพิ่ม
5. ทีมเล็กสายเทคนิคที่ใช้คีย์ SSH อยู่แล้ว ภาระต่ำและทุกคนรู้จักเครื่องมือ

แม้ในกรณีเหล่านี้ ให้ถือว่าอุโมงค์เป็นเครื่องมือดูแลระบบ ไม่ใช่เครื่องมือความเป็นส่วนตัวทั่วไป เซิร์ฟเวอร์ที่คุณล็อกอินเข้าไปเห็นทราฟฟิกทั้งหมดที่ออกจากมัน คุณกำลังไว้ใจเซิร์ฟเวอร์นั้นและคนที่ดูแล

เมื่อ VPN เหมาะกว่า

VPN แข็งแรงกว่าเมื่อความต้องการกว้างกว่าหรือต่อเนื่อง

1. ปกป้องบน Wi-Fi ที่ใช้ร่วมกัน บนเครือข่ายโรงแรมหรือร้านกาแฟ คุณต้องการให้ทุกแอปถูกครอบคลุม ไม่ใช่เฉพาะที่จำได้ว่าตั้งค่าไว้ ดูพื้นฐานได้ที่ วิธีอยู่ให้ปลอดภัยบน Wi-Fi สาธารณะ
2. คนทำงานระยะไกลที่ใช้เครื่องมือภายในหลายตัว โฟลเดอร์ร่วม เว็บภายใน เครื่องพิมพ์ และแชต ใช้งานได้เหมือนอยู่ในเครือข่ายออฟฟิศ
3. ผู้ใช้ที่ไม่ใช่สายเทคนิค พนักงานไม่ควรต้องเข้าใจแฟล็กของ forwarding แอป VPN ที่มีปุ่มเชื่อมต่อปุ่มเดียวช่วยซัพพอร์ตง่ายกว่า
4. แอปที่ไม่รองรับ proxy หลายโปรแกรมตั้งให้ใช้ SOCKS proxy ไม่ได้เลย VPN ครอบคลุมได้โดยไม่ต้องแก้อะไร
5. ทีมที่ต้องการควบคุมจากส่วนกลาง การเพิกถอนสิทธิ์ของคนหนึ่งไม่ควรต้องไล่แก้คีย์ในเซิร์ฟเวอร์ทุกเครื่อง

สำหรับคนที่ต้องการเพียงเส้นทางส่วนตัวบนเครือข่ายสาธารณะ บริการ VPN สำหรับบุคคลทั่วไปเป็นทางเลือกตรงไปตรงมา การตัดสินใจอีกแบบ คือสร้างเซิร์ฟเวอร์ VPN เองหรือซื้อบริการ อภิปรายไว้ใน VPN ที่โฮสต์เองกับ VPN เชิงพาณิชย์ ส่วนการออกแบบ WireGuard ที่อธิบายไว้ใน เว็บไซต์ทางการ ทำให้ VPN ที่โฮสต์เองรันได้ง่ายกว่าแต่ก่อนมาก

ใช้ทั้งสองอย่างร่วมกัน

สองเครื่องมือนี้ไม่ใช่คู่แข่ง ผู้ดูแลระบบหลายคนใช้ทั้งคู่ แต่ละอย่างมีหน้าที่ของตัวเอง

• VPN พาแล็ปท็อปเข้าเครือข่ายส่วนตัวอย่างปลอดภัย ภายในเครือข่ายนั้นใช้ SSH (จะมี forwarding หรือไม่ก็ได้) เข้าเซิร์ฟเวอร์ทีละเครื่อง
• jump host อยู่ในเครือข่ายส่วนตัว ผู้ดูแลเชื่อมต่อ VPN แล้วใช้ SSH พร้อมตัวเลือก jump เข้าเครื่องที่รับการเชื่อมต่อจาก jump host เท่านั้น
• บน เครือข่ายสาธารณะ แอป VPN ปกป้องทั้งเครื่อง ขณะที่ SSH forwarding เข้าฐานข้อมูลเดียวที่ต้องไม่ถูกเปิดเผยเด็ดขาด

การซ้อนกันไม่ได้ทำให้ทราฟฟิกปลอดภัยแบบมหัศจรรย์ เพราะแต่ละชั้นปกป้องคนละส่วน แต่ช่วยจำกัดความเสียหายถ้าชั้นหนึ่งอ่อน เช่น คีย์ SSH ที่ถูกขโมยมีประโยชน์น้อยลงมากถ้าเซิร์ฟเวอร์ที่มันปลดล็อกเข้าถึงได้เฉพาะจากภายใน VPN ที่ต้องใช้ปัจจัยที่สองด้วย

นิสัยที่ดีสำหรับทั้งสองแนวทาง

สำหรับ SSH tunnel

• ล็อกอินด้วยคีย์ที่ป้องกันด้วยวลีรหัส และปิดการล็อกอินด้วยรหัสผ่านบนเซิร์ฟเวอร์ที่นโยบายอนุญาต
• เพิ่มปัจจัยที่สองถ้าทำได้ คำแนะนำเรื่อง multi-factor authentication ของ CISA อธิบายตัวเลือกไว้
• ผูกพอร์ตที่ forward กับที่อยู่ในเครื่องเท่านั้น เครื่องอื่นในเครือข่ายของคุณจะได้ไม่ใช้อุโมงค์ของคุณ
• ปิดอุโมงค์เมื่อเสร็จ อุโมงค์ที่ลืมคือประตูที่เปิดค้าง
• ตรวจลายนิ้วมือ host key ของเซิร์ฟเวอร์ตอนเชื่อมต่อครั้งแรก คำเตือนเมื่อมันเปลี่ยนสมควรได้รับความสนใจ ไม่ใช่กดผ่าน
• จำกัดการ forward ในการตั้งค่าเซิร์ฟเวอร์ถ้าผู้ใช้ไม่จำเป็นต้องใช้

สำหรับ VPN

• อัปเดตทั้งเซิร์ฟเวอร์ VPN และไคลเอนต์
• ให้แต่ละคนมีข้อมูลล็อกอินของตัวเอง
• ทดสอบการรั่วหลังตั้งค่า วิธีทดสอบ VPN ลิสต์การตรวจไว้
• ใช้ split tunneling เมื่อรู้แน่ว่ามันเว้นอะไรไว้นอกอุโมงค์
• ทำตามกฎการเข้าถึงระยะไกลของนายจ้าง ซึ่งเป็นเรื่องที่ แนวทางการทำงานทางไกลของ NIST อธิบายไว้ละเอียด

สามสถานการณ์

นักพัฒนาตรวจฐานข้อมูล staging อรุณต้องดูฐานข้อมูลที่รอรับเฉพาะที่อยู่ภายในของเซิร์ฟเวอร์ เธอใช้ local forwarding ตลอดบ่าย ทำงานผ่านไคลเอนต์ที่ใช้ประจำ แล้วปิดอุโมงค์ตอนเลิก ไม่ต้องติดตั้งซอฟต์แวร์ใหม่ ไม่มีอะไรถูกเปิดออก VPN ก็ทำได้ แต่จะตั้งนานกว่าตัวงาน

ที่ปรึกษาบน Wi-Fi ของงานประชุม ดาเนียลอยู่ในงานประชุมที่มี Wi-Fi เปิด เขาต้องใช้อีเมล ไดรฟ์ร่วม และเว็บเครื่องมือของลูกค้าไม่กี่ตัว SSH tunnel ครอบคลุมได้ทีละแอป เขาจึงใช้แอป VPN บนแล็ปท็อปเพื่อให้ทุกโปรแกรมถูกครอบคลุม และใช้ SSH เฉพาะตอนต้องเข้าเซิร์ฟเวอร์ของลูกค้าเครื่องเดียว

ผู้ชอบทำแล็บที่บ้าน เหมยรันเซิร์ฟเวอร์เล็ก ๆ ที่บ้านซึ่งมีคลังสื่อและบริการไม่กี่อย่าง สำหรับการตรวจครั้งเดียวเธอใช้ SSH forwarding แต่เพราะคนในครอบครัวอยากเข้าไฟล์จากข้างนอกด้วย เธอจึงตั้ง VPN ที่ให้แต่ละคนมีโปรไฟล์ คีย์ SSH ของเธอเก็บไว้ใช้ดูแลระบบเท่านั้น

ข้อผิดพลาดที่ควรเลี่ยง

• ถือว่า dynamic tunnel คือ VPN เต็มรูปแบบ ถ้ามีแอปหนึ่งไม่ได้ตั้งให้ใช้ proxy มันก็ออกตามปกติ DNS ก็อาจเป็นเช่นกัน
• ลืมว่าเซิร์ฟเวอร์เห็นทราฟฟิกของคุณ SSH tunnel ย้ายความไว้ใจไปที่ผู้ดูแลเซิร์ฟเวอร์ ไม่ได้ลบมันออก
• ปล่อย forward ค้างไว้ อุโมงค์เพื่อความสะดวกที่รันข้ามคืนเป็นสิ่งที่พบบ่อยในการตรวจสอบความปลอดภัย
• ใช้ forwarding เพื่อเลี่ยงนโยบายเครือข่าย องค์กรอาจห้ามด้วยเหตุผลที่ดี ทำตามกฎของเครือข่ายที่ใช้ และใช้อุโมงค์เพื่อเข้าระบบที่คุณได้รับอนุญาตเท่านั้น
• ใช้คีย์เดียวร่วมกันหลายคน ไม่รู้ว่าใครทำอะไร และเพิกถอนสิทธิ์ลำบาก
• คาดหวังให้เครื่องมือใดปกป้องอุปกรณ์ ทั้งสองไม่หยุดมัลแวร์ ฟิชชิง หรือรหัสผ่านอ่อน ดู สิ่งที่ VPN ปกป้องคุณไม่ได้

สรุป

SSH tunnel พาการเชื่อมต่อที่เลือกผ่านเซสชันเข้ารหัสเส้นเดียวไปยังเซิร์ฟเวอร์ที่คุณล็อกอินได้ เบา แม่นยำ และเยี่ยมสำหรับงานดูแลระบบ แต่ครอบคลุมเฉพาะสิ่งที่คุณ forward และย้ายความไว้ใจไปที่เซิร์ฟเวอร์ VPN สร้างอินเทอร์เฟซเครือข่ายเสมือนที่พาทราฟฟิกทั้งเครื่องและเชื่อมเข้าเครือข่ายส่วนตัวได้ เหมาะกับการปกป้องประจำวัน หลายผู้ใช้ และพนักงานที่ไม่ใช่สายเทคนิค การตั้งค่าที่รอบคอบหลายแบบใช้ทั้งคู่ คือ VPN เพื่อเข้าเครือข่าย SSH เพื่อเข้าระบบทีละเครื่อง โดยมีคีย์ ปัจจัยที่สอง และบันทึกล้อมรอบ

ถ้าความต้องการของคุณคือปกป้องทุกแอปบนเครือข่ายที่ใช้ร่วมกัน ดู หน้าราคา เพื่อดูว่าพาสแบบเติมเงินจะเหมาะกับคุณอย่างไร