VPN กับ Firewall ทำหน้าที่ต่างกันอย่างไร

หลายคนจัด VPN กับ Firewall ไว้ในป้ายเดียวกันว่า "ของความปลอดภัย" แล้วสงสัยว่าอย่างใดอย่างหนึ่งทำให้อีกอย่างไม่จำเป็นหรือเปล่า จริง ๆ ทั้งสองทำหน้าที่ต่างกันในตำแหน่งต่างกันบนเส้นทางระหว่างอุปกรณ์ของคุณกับอินเทอร์เน็ต Firewall คือผู้ตรวจกฎ ส่วน VPN คือเส้นทางที่ได้รับการปกป้อง การสับสนระหว่างสองอย่างนี้ทำให้เกิดช่องว่าง เช่นหวังให้ VPN หยุดการเชื่อมต่อขาเข้าที่ไม่ต้องการ หรือหวังให้ Firewall ซ่อนการท่องเว็บของคุณจากเครือข่ายร้านกาแฟ

บทความนี้ไม่ทวนการเปรียบเทียบกว้าง ๆ กับโปรแกรมแอนตี้ไวรัส ซึ่งอยู่ใน VPN เทียบกับแอนตี้ไวรัสและ Firewall แต่จะไล่ตามข้อมูลบนเครือข่ายจริงทีละแพ็กเก็ต ผ่านทั้งสองเครื่องมือ เพื่อให้เห็นว่าแต่ละอย่างทำงานตรงไหนและไม่แตะต้องอะไร

สรุปสั้น ๆ: ยามเฝ้าประตูกับพนักงานส่งของ

ลองนึกถึงอาคารหลังหนึ่ง Firewall คือโต๊ะรปภ.ตรงทางเข้า ตรวจว่าใครจะเข้าหรือออกโดยเทียบกับรายการกฎ และไม่ให้ผ่านถ้าไม่มีชื่อ ส่วน VPN คือบริการขนส่งหุ้มเกราะ รับพัสดุของคุณที่หน้าประตูบ้าน ปิดผนึกในกล่องล็อก ขับไปถึงคลังแล้วส่งต่อจากที่นั่น

• โต๊ะรปภ.ตัดสิน ว่าใครผ่านได้ แต่ไม่ได้ปิดผนึกพัสดุของคุณ
• พนักงานส่งของปกป้อง ตัวการเดินทาง แต่ไม่ได้ตัดสินว่าอาคารควรรับผู้มาเยือนแบบไหน

จำภาพสองภาพนี้ไว้ที่เหลือก็เป็นรายละเอียด Firewall ตอบคำถามว่า "การเชื่อมต่อนี้ควรได้รับอนุญาตไหม" ส่วน VPN ตอบคำถามว่า "ใครอ่านข้อมูลนี้ระหว่างทางได้บ้าง"

Firewall ตัดสินอะไรจริง ๆ

Firewall ดูการเชื่อมต่อบนเครือข่ายแล้วใช้กฎตัดสิน โดยทั่วไปกฎใช้ข้อมูลเหล่านี้

• ทิศทาง ขาเข้า (มีบางสิ่งพยายามเข้าถึงอุปกรณ์ของคุณ) หรือขาออก (อุปกรณ์ของคุณเป็นฝ่ายติดต่อออกไป)
• ที่อยู่ IP ต้นทางหรือปลายทาง หรือช่วงของ IP ที่เกี่ยวข้อง
• พอร์ตและโปรโตคอล เช่น ทราฟฟิกเว็บใช้พอร์ตที่รู้จักกันดี บริการอื่นใช้พอร์ตต่างออกไป
• แอปพลิเคชัน บนคอมพิวเตอร์ Firewall บางตัวตัดสินเป็นรายโปรแกรมได้
• สถานะ Firewall แบบ stateful จำคำขอที่ส่งออกไปและอนุญาตคำตอบที่ตรงกัน แต่ปฏิเสธการเชื่อมต่อขาเข้าที่ไม่มีใครร้องขอ

ค่าเริ่มต้นที่พบบ่อยคือ อนุญาตการเชื่อมต่อขาออกที่คุณเริ่ม อนุญาตคำตอบกลับ และบล็อกการเชื่อมต่อขาเข้าที่ไม่มีใครร้องขอ ค่าเริ่มต้นข้อเดียวนี้หยุดการสอดแนมที่ไม่พึงประสงค์จากอินเทอร์เน็ตได้เป็นส่วนใหญ่

เราเตอร์ตามบ้านมีฟีเจอร์ที่เกี่ยวข้องอีกอย่างคือ NAT ทุกอุปกรณ์ในบ้านใช้ IP สาธารณะร่วมกัน และเราเตอร์เก็บตารางว่าอุปกรณ์ภายในเครื่องไหนขออะไร เพราะที่อยู่ภายในมาจากช่วงส่วนตัวที่ระบุใน RFC 1918 คนภายนอกจึงส่งข้อมูลมาถึงอุปกรณ์เหล่านั้นโดยตรงไม่ได้ เมื่อรวมกับ Firewall ของเราเตอร์ อุปกรณ์ในบ้านของคุณจึงเข้าถึงจากภายนอกไม่ได้ เว้นแต่คุณตั้งใจเปิดบางอย่าง ซึ่งเป็นเรื่องที่อธิบายไว้ใน การทำ port forwarding ผ่าน VPN

สังเกตสิ่งที่ Firewall ไม่ทำ มันไม่เข้ารหัสข้อมูลที่ปล่อยให้ผ่าน ถ้า Firewall อนุญาตให้แล็ปท็อปของคุณคุยกับเว็บไซต์ ใครก็ตามที่อยู่บนเส้นทางระหว่างสองฝั่งก็ยังสังเกตการเชื่อมต่อนั้นได้

VPN ทำอะไรในระดับเครือข่าย

ในระดับแพ็กเก็ต VPN ทำสิ่งที่ต่างออกไป แอป VPN สร้างอินเทอร์เฟซเครือข่ายเสมือนบนอุปกรณ์ ระบบปฏิบัติการถูกสั่งให้ส่งข้อมูลผ่านอินเทอร์เฟซนั้น แอปรับแพ็กเก็ตขาออกแต่ละอัน เข้ารหัส แล้วใส่ลงในแพ็กเก็ตใหม่ที่จ่าหน้าไปยังเซิร์ฟเวอร์ VPN กระบวนการนี้เรียกว่า encapsulation เซิร์ฟเวอร์ VPN ถอดรหัส ส่งต่อไปยังปลายทาง และทำย้อนกลับสำหรับคำตอบ สถาปัตยกรรมมาตรฐานของแนวคิดนี้ในโลกของ IP ถูกอธิบายใน RFC 4301 และในคู่มือ IPsec VPN ของ NIST ส่วนโปรโตคอลอื่นใช้รูปแบบเดียวกันแต่ต่างที่รายละเอียด

ผลที่ตามมาสามข้อสำคัญต่อการเปรียบเทียบ

1. เครือข่ายท้องถิ่นเห็นกระแสข้อมูลที่เข้ารหัสสายเดียว เราเตอร์ร้านกาแฟเห็นแพ็กเก็ตไปยังเซิร์ฟเวอร์ VPN ไม่เห็นเว็บไซต์ที่อยู่ข้างใน
2. ปลายทางเห็นเซิร์ฟเวอร์ VPN การเชื่อมต่อขาเข้าของเว็บไซต์มาจากเซิร์ฟเวอร์ ไม่ใช่เครือข่ายท้องถิ่นของคุณ
3. ไม่มีการตัดสินว่าอะไรควรอนุญาต อุโมงค์ขนสิ่งที่คุณส่งเข้าไป ถ้าโปรแกรมประสงค์ร้ายบนอุปกรณ์ส่งข้อมูลออก VPN ก็ขนไปอย่างซื่อสัตย์

VPN จึงเกี่ยวกับการปกป้องและย้ายเส้นทาง ไม่ใช่ตัวกรอง ดูวิธีสร้างอุโมงค์ได้ใน VPN ทำงานอย่างไร

เปรียบเทียบเคียงข้างกัน

คำถาม	Firewall	VPN
หน้าที่หลัก	อนุญาตหรือบล็อกการเชื่อมต่อตามกฎ	เข้ารหัสและขนข้อมูลผ่านอุโมงค์
ทำงานที่ไหน	ที่อุปกรณ์ (host firewall) และขอบเครือข่าย (เราเตอร์หรืออุปกรณ์เฉพาะ)	ที่อุปกรณ์ โดยมีเซิร์ฟเวอร์ VPN อยู่อีกฝั่ง
ดูอะไร	ทิศทาง ที่อยู่ พอร์ต บางครั้งดูแอปพลิเคชัน	แพ็กเก็ตทั้งก้อน ห่อไว้โดยไม่ตัดสิน
ปกป้องจาก	การเชื่อมต่อขาเข้าที่ไม่มีใครร้องขอ และขาออกที่ไม่ต้องการ	คนอื่นบนเส้นทางที่อ่านหรือแก้ไขข้อมูลของคุณ
ไม่ปกป้องจาก	ผู้สังเกตที่อ่านข้อมูลที่อนุญาตให้ผ่าน	ความพยายามเชื่อมต่อเข้ามายังอุปกรณ์ มัลแวร์ที่คุณรันเอง
เว็บไซต์มองเห็น	ไม่เห็นเลย	ที่อยู่ของเซิร์ฟเวอร์แทนที่อยู่ของคุณ
มักมีอยู่แล้ว	มี ในระบบปฏิบัติการและเราเตอร์ตามบ้าน	ไม่มี ต้องเพิ่มเอง
ความล้มเหลวที่พบบ่อย	กฎเปิดกว้างเกินไป	อุโมงค์หลุดโดยไม่รู้ตัว

ตารางทำให้เห็นประเด็นสำคัญ แถว "ปกป้องจาก" และ "ไม่ปกป้องจาก" แทบเป็นภาพสะท้อนกัน นั่นคือเหตุผลที่คนใช้ทั้งสองอย่างไม่ได้เสียแรงเปล่า

ไล่ตามข้อมูลจริงผ่านทั้งสองอย่าง

ลองไล่ดูไม่กี่ช่วงเวลาในเย็นวันหนึ่ง

เปิดเว็บข่าวที่บ้าน Firewall ของแล็ปท็อปอนุญาตการเชื่อมต่อขาออก Firewall ของเราเตอร์อนุญาตทั้งขาออกและคำตอบ เมื่อปิด VPN ผู้ให้บริการอินเทอร์เน็ตเห็นว่าคุณติดต่อเว็บนั้น เมื่อเปิด VPN ผู้ให้บริการเห็นข้อมูลไปยังเซิร์ฟเวอร์ VPN Firewall ทำงานเหมือนกันทั้งสองกรณี เพราะมันตัดสินแค่ว่าจะอนุญาตการเชื่อมต่อหรือไม่

มีตัวสแกนบนอินเทอร์เน็ตมาสอดแนมที่อยู่บ้านคุณ มันส่งแพ็กเก็ตที่ไม่มีใครร้องขอมายัง IP สาธารณะของคุณ Firewall ของเราเตอร์ทิ้งแพ็กเก็ตเหล่านั้นเพราะไม่มีอะไรภายในร้องขอ VPN ไม่มีบทบาทตรงนี้ เส้นทางโจมตีนี้เป็นหน้าที่ของ Firewall

ต่อ Wi-Fi ร้านกาแฟ ตอนนี้ Firewall ในเครื่องเป็นยามหลัก เพราะเราเตอร์ของร้านไม่ใช่ของคุณ มันยังบล็อกการเชื่อมต่อขาเข้าจากอุปกรณ์อื่นบน Wi-Fi นั้นมายังแล็ปท็อปของคุณ ถ้าตั้งค่าไว้เช่นนั้น ขณะเดียวกัน VPN ซ่อนข้อมูลของคุณจากคนเหล่านั้น แต่ละอย่างทำสิ่งที่อีกอย่างทำไม่ได้

โปรแกรมบนแล็ปท็อปเริ่มส่งข้อมูลไปยังที่อยู่แปลก ๆ กฎ Firewall รายแอปอาจแจ้งเตือนหรือบล็อกได้ ส่วน VPN จะขนข้อมูลนั้นไปในอุโมงค์โดยไม่ออกความเห็น

คุณตั้งเซิร์ฟเวอร์ไฟล์เล็ก ๆ ที่บ้านและอยากเข้าถึงขณะเดินทาง คุณเปิดพอร์ตบนเราเตอร์ได้ ซึ่งเปิดบริการให้ทุกคนเข้าถึง หรือเชื่อมผ่านจุดเชื่อมต่อ VPN เข้าเครือข่ายที่บ้าน ซึ่งเปิดให้เฉพาะผู้ใช้ที่ยืนยันตัวตนแล้ว นี่คือจุดที่ทั้งสองทำงานร่วมกัน กฎของ Firewall อนุญาตเพียงทางเข้าของ VPN และ VPN ปกป้องเส้นทาง

จุดที่ทั้งสองมาพบกันในองค์กร

ในที่ทำงาน Firewall และ VPN ถูกออกแบบมาด้วยกัน Firewall ของบริษัทอยู่ระหว่างอินเทอร์เน็ตกับเครือข่ายภายใน ไม่ให้คนนอกเข้ามาอย่างอิสระ เกตเวย์ VPN เป็นทางเข้าที่ตั้งใจเปิดและต้องยืนยันตัวตนผ่านกำแพงนั้น พนักงานระยะไกลเชื่อมต่อกับเกตเวย์ พิสูจน์ตัวตน และได้สิทธิ์เข้าระบบภายในที่เลือกไว้ กฎของ Firewall จะกำหนดต่อว่าผู้ใช้ VPN คนนั้นเข้าถึงอะไรได้เมื่ออยู่ข้างใน

แนวทางที่ใหม่กว่า เช่น zero trust ที่อธิบายใน NIST SP 800-207 พึ่งพาทางเข้าเครือข่ายเดียวน้อยลง แต่ยังใช้การตัดสินตามนโยบายแบบเดียวกับ Firewall บทความ Zero Trust เทียบกับ VPN อธิบายความสัมพันธ์กับโมเดลใหม่นี้

เหตุนี้ VPN สำหรับผู้ใช้ทั่วไปกับ VPN ของที่ทำงานจึงเป็นผลิตภัณฑ์คนละแบบ แบบแรกปกป้องเส้นทางไปยังเซิร์ฟเวอร์ทั่วไป แบบหลังเปิดประตูที่ควบคุมได้เข้าเครือข่ายส่วนตัว ดูเพิ่มที่ VPN องค์กรกับ VPN ส่วนตัว

เมื่อ Firewall บล็อก VPN

เนื่องจาก Firewall ตัดสินว่าอะไรผ่านได้ มันจึงจำกัดการเชื่อมต่อ VPN ได้ด้วย โรงเรียน สำนักงาน โรงแรม และเครือข่ายสาธารณะบางแห่งตั้งกฎจำกัดหรือห้ามทราฟฟิก VPN ด้วยเหตุผลด้านนโยบาย แบนด์วิดท์ หรือการปฏิบัติตามข้อกำหนด ถ้า VPN ของคุณเชื่อมต่อบนเครือข่ายแบบนั้นไม่ได้ มักเห็นค้างที่ "กำลังเชื่อมต่อ" หรือล้มเหลวซ้ำ ๆ

สิ่งที่ควรทำ

1. ตรวจว่า VPN ตัวเดียวกันเชื่อมต่อบนเครือข่ายอื่นได้ไหม เช่น เน็ตมือถือ ถ้าได้ แสดงว่าเครือข่ายแรกจำกัดอยู่
2. อ่านกติกาการใช้งานของเครือข่าย ถ้าห้ามใช้ VPN ก็ให้เคารพ
3. สอบถามเจ้าของเครือข่ายหรือฝ่ายไอทีว่าอนุญาตให้ใช้ VPN หรือไม่ และควรทำอย่างไร
4. ใช้เน็ตมือถือสำหรับงานนั้นถ้าเหมาะสม

อย่ามองกฎ Firewall ของเครือข่ายเป็นปริศนาให้ไขทะลุ มันเป็นนโยบายของเจ้าของ และการฝ่าฝืนอาจทำให้เสียสิทธิ์เข้าใช้หรือเสียงานได้ บทความช่วยเหลือเรื่อง VPN เชื่อมต่อไม่ได้ ต้องทำอย่างไร พาไล่ลำดับการแก้ปัญหาสำหรับสาเหตุทั่วไป

ความผิดพลาดที่พบบ่อย

• พึ่ง VPN เพื่อหยุดการโจมตีขาเข้า มันไม่ได้กรอง ให้เปิด Firewall ของระบบปฏิบัติการและของเราเตอร์ไว้
• พึ่ง Firewall เพื่อซ่อนการท่องเว็บ มันปล่อยข้อมูลที่อนุญาตให้ผ่านโดยไม่เข้ารหัส เครือข่ายร่วมก็ยังสังเกตได้
• ปิด host firewall เพราะ "เปิด VPN อยู่แล้ว" สองอย่างนี้เป็นอิสระต่อกัน อุโมงค์ VPN ไม่ได้ทดแทนการกรองขาเข้าบนอุปกรณ์
• เปิดพอร์ตบนเราเตอร์เพื่อความสะดวกแล้วลืมปิด ทุกพอร์ตที่เปิดคือรูในกำแพง ปิดสิ่งที่ไม่ใช้แล้ว
• คิดว่า VPN ทำให้กฎ Firewall ไม่เกี่ยวข้อง กฎของ host firewall ยังใช้กับข้อมูลที่แอปสร้างขึ้น รวมถึงภายในอุโมงค์
• โทษ VPN เมื่อเครือข่ายที่ดูแลอยู่บล็อกมัน การบล็อกเป็นนโยบาย ไม่ใช่ความบกพร่อง

รายการตรวจสอบเชิงปฏิบัติ

1. ยืนยันว่า Firewall ที่มากับระบบปฏิบัติการเปิดอยู่บนทุกแล็ปท็อปและเดสก์ท็อป
2. ยืนยันว่า Firewall ของเราเตอร์ที่บ้านเปิดอยู่ และคุณไม่ได้เปิดพอร์ตที่ไม่จำเป็น
3. ก่อนใช้ Wi-Fi ร่วม ให้เปิด VPN เพื่อปกป้องเส้นทาง และเปิด host firewall ไว้เพื่อปกป้องตัวอุปกรณ์
4. ถ้าคุณรันบริการที่บ้าน ให้เลือกเข้าผ่านจุดเชื่อมต่อ VPN แทนการเปิดพอร์ตสู่อินเทอร์เน็ต
5. ถ้าใช้แอป VPNclient ที่ใช้ฟรีควบคู่กับบัตรผ่าน XPASS ให้ติดตั้งจากหน้าดาวน์โหลด และล็อกอินด้วยชื่อผู้ใช้และรหัสผ่านที่แสดงในหน้า My Pass
6. ทดสอบการตั้งค่าเป็นครั้งคราวด้วยขั้นตอนใน วิธีตรวจสอบว่า VPN ทำงานอยู่

สรุป

Firewall เป็นยามเฝ้าประตูตามกฎที่ตัดสินว่าการเชื่อมต่อไหนผ่านได้ VPN เป็นเส้นทางที่ได้รับการปกป้อง เข้ารหัสข้อมูลและแสดงที่อยู่อีกที่หนึ่งให้เว็บที่คุณเข้า ทั้งสองอยู่คนละตำแหน่ง ปกป้องจากคนละเรื่อง และล้มเหลวคนละแบบ จึงไม่มีอย่างใดแทนอีกอย่างได้ ให้เปิด Firewall ไว้เพื่อกันข้อมูลที่ไม่มีใครร้องขอ เพิ่ม VPN เมื่อใช้เครือข่ายร่วมหรือต้องการความเป็นส่วนตัวจากผู้ให้บริการ และมองการบล็อกบนเครือข่ายที่มีผู้ดูแลเป็นนโยบายที่ต้องเคารพ

ถ้าคุณเห็นว่า VPN ครึ่งหลังของภาพนี้เหมาะกับการเดินทางหรืองานของคุณ ดูหน้าราคา เพื่อดูว่าบัตรผ่านแบบเติมเงินเป็นอย่างไร