ใช้ VPN เมื่ออินเทอร์เน็ตติด CGNAT ทำอย่างไร

ถ้าคุณเคยลองตั้งเซิร์ฟเวอร์ที่บ้าน เปิดห้องเล่นเกมให้เพื่อน หรือเข้าดูกล้องวงจรปิดจากนอกบ้าน แล้วพบว่าไม่ทำงานเลยทั้งที่ตั้งค่าถูกทุกอย่าง มีโอกาสสูงว่าผู้ให้บริการอินเทอร์เน็ตของคุณใช้ CGNAT หรือ carrier-grade NAT ซึ่งพบมากขึ้นเรื่อย ๆ เพราะ IPv4 สาธารณะไม่พอแจก และเกิดได้ทั้งกับอินเทอร์เน็ตบ้าน ข้อมูลมือถือ และเครือข่ายรวมของอาคาร

ข่าวดีสำหรับคนใช้ VPN คือ CGNAT ไม่ใช่อุปสรรคใหญ่อย่างที่หลายคนกลัว แอป VPN กับ CGNAT เข้ากันได้ค่อนข้างดี ส่วนข่าวที่ไม่ดีนักคือบางอย่างที่คนมักลองทำควบคู่กับ VPN เช่นตั้ง VPN server เองหรือเปิดพอร์ต จะชนกับ CGNAT เข้าเต็ม ๆ บทความนี้เล่าเรื่อง VPN หลัง CGNAT ว่าจะรู้ได้อย่างไรว่าคุณติดอยู่ อะไรยังใช้ได้ อะไรใช้ไม่ได้ และทำอย่างไรต่อ

CGNAT คืออะไร อธิบายแบบเข้าใจง่าย

เราเตอร์ทุกบ้านทำ NAT หรือการแปลงที่อยู่เครือข่ายอยู่แล้ว มือถือ โน้ตบุ๊กและทีวีของคุณมีที่อยู่ส่วนตัวของตัวเอง (ช่วงตามมาตรฐาน RFC 1918 เช่น 192.168.1.20) และเราเตอร์จะสลับเป็น IP สาธารณะตัวเดียวเมื่อทราฟฟิกออกจากบ้าน เมื่อมีคำตอบกลับมา เราเตอร์จำได้ว่าเครื่องไหนเป็นคนถาม แล้วส่งต่อให้ถูกเครื่อง

CGNAT ทำสิ่งเดียวกัน แต่ยกระดับขึ้นไปอีกชั้น ผู้ให้บริการนำ IPv4 สาธารณะหนึ่งตัวมาแบ่งกันใช้ระหว่างลูกค้าหลายสิบหรือหลายร้อยราย ที่อยู่ "สาธารณะ" ที่เราเตอร์ของคุณเห็นจึงเป็นที่อยู่ที่ดูเหมือนส่วนตัวซึ่งผู้ให้บริการส่งต่อลงมา ช่วง 100.64.0.0 ถึง 100.127.255.255 ถูกสงวนไว้เพื่อการนี้โดยเฉพาะตาม RFC 6598 ดังนั้นถ้าเห็นที่อยู่ขึ้นต้น 100.64 ถึง 100.127 ถือเป็นสัญญาณที่ชัดมาก

แนวคิดสำคัญคือ การเชื่อมต่อขาออกจะสร้างรายการชั่วคราวในตาราง เพื่อให้คำตอบหาทางกลับมาได้ ส่วนการเชื่อมต่อที่เริ่มจากภายนอกไม่มีรายการรองรับ จึงไม่มีทางไปต่อ บ้านของคุณจึงถูกเข้าถึงได้เฉพาะบทสนทนาที่คุณเป็นผู้เริ่มเท่านั้น

ทำไมผู้ให้บริการจึงทำเช่นนี้ เพราะ IPv4 มีราว 4 พันล้านที่อยู่ น้อยกว่าจำนวนอุปกรณ์ที่ต้องการมากนัก IPv6 (RFC 8200) แก้ปัญหาการขาดแคลน แต่การใช้งานจริงในบ้านยังไม่ทั่วถึง ระหว่างนี้การแบ่งกันใช้ที่อยู่จึงเป็นทางออกราคาถูก

ตรวจอย่างไรว่าติด CGNAT

ใช้เวลาประมาณสองนาที

1. เข้าหน้าผู้ดูแลระบบของเราเตอร์ หาหน้า WAN Internet หรือ Status แล้วจด IP ที่แสดงด้านฝั่งอินเทอร์เน็ต
2. จากอุปกรณ์ใดก็ได้ในบ้าน เปิดเว็บที่บอก IP สาธารณะของคุณ
3. เทียบตัวเลขสองค่านั้น

สิ่งที่เห็น	ความหมาย
ที่อยู่ทั้งสองเหมือนกัน	คุณมี IPv4 สาธารณะของตัวเอง (ไม่ติด CGNAT)
เราเตอร์แสดงที่อยู่ขึ้นต้น 100.64 ถึง 100.127	พื้นที่ที่อยู่ร่วมตาม RFC 6598 คุณติด CGNAT
เราเตอร์แสดง 10.x.x.x, 172.16-31.x.x หรือ 192.168.x.x	ฝั่ง WAN เป็นที่อยู่ส่วนตัว คุณติด CGNAT หรือมีเราเตอร์อีกตัวต่ออยู่ด้านหน้า
เราเตอร์แสดงที่อยู่ดูเหมือนสาธารณะ แต่ไม่ตรงกับหน้าเว็บ	อาจเป็น CGNAT หรือพร็อกซีของผู้ให้บริการ ควรสอบถามผู้ให้บริการ

บนข้อมูลมือถือตรวจยากกว่า เพราะโทรศัพท์ไม่มีหน้า WAN ให้ดู หลักง่าย ๆ คือให้ถือว่าเครือข่ายมือถือเป็น CGNAT เว้นแต่ผู้ให้บริการระบุเป็นอย่างอื่น และให้ตรวจด้วยว่าในบ้านคุณเองมีเราเตอร์ตัวที่สองหรือไม่ เช่นระบบ Mesh หรือเราเตอร์เก่าที่ต่ออยู่ด้านหน้า เพราะจะเกิด Double NAT ที่หน้าตาคล้ายกันแต่อยู่ในการควบคุมของคุณ ไม่ใช่ของผู้ให้บริการ

การมี IPv6 สาธารณะไม่ได้แปลว่าคุณหลุดจาก CGNAT ของทราฟฟิก IPv4 หลายบ้านมีทั้ง IPv6 และ CGNAT พร้อมกัน ฝั่ง IPv4 ยังเป็นการแบ่งกันใช้อยู่ ภาพรวมของการทำงานร่วมกันของสองระบบนี้อยู่ใน IPv4 กับ IPv6 เมื่อใช้ VPN

ทำไมแอป VPN ทั่วไปยังใช้ได้หลัง CGNAT

แอป VPN ที่เชื่อมต่อกับเซิร์ฟเวอร์ของผู้ให้บริการเป็น client แบบ ขาออก อุปกรณ์ของคุณส่งแพ็กเก็ตไปยังที่อยู่ที่รู้จักบนอินเทอร์เน็ต อุปกรณ์ CGNAT สร้างรายการในตารางแล้วส่งต่อ เซิร์ฟเวอร์ตอบกลับมาที่รายการนั้น และคำตอบก็กลับถึงคุณ จากนั้นอุโมงค์เข้ารหัสก็พาทราฟฟิกทั้งหมดของคุณผ่านการแมปเดียวนั้น

กลไกนี้เหมือนกับที่การท่องเว็บใช้ ในสายตาของ CGNAT อุโมงค์ VPN จึงเป็นเพียงบทสนทนายาว ๆ อีกอย่างหนึ่ง สำหรับการใช้งานประจำวัน เช่นปกป้องทราฟฟิกบนเครือข่ายสาธารณะ ใช้ที่บ้านหรือระหว่างเดินทาง คุณไม่ต้องทำอะไรพิเศษ

มีรายละเอียดเล็ก ๆ สองข้อที่กระทบความเสถียร

• Idle timeout อุปกรณ์ CGNAT จะลืมรายการเมื่อเงียบไปนาน ซอฟต์แวร์ VPN มักส่งแพ็กเก็ต keepalive เป็นระยะเพื่อรักษารายการไว้ ถ้าอุโมงค์หลุดเมื่อไม่ได้ใช้งาน การตั้งค่า keepalive อาจช่วยได้ ถ้าตั้งเองไม่ได้ การเชื่อมต่อใหม่อัตโนมัติของแอปจะช่วยชดเชย
• UDP กับ TCP รายการแบบ UDP มักหมดอายุเร็วกว่า TCP ถ้าแอปให้เลือก ให้ใช้ค่าเริ่มต้นไว้ และเปลี่ยนก็ต่อเมื่อฝ่ายซัพพอร์ตแนะนำ

ถ้าการเชื่อมต่อไม่นิ่ง ดูรายการสิ่งที่ตรวจได้ใน ปรับปรุงความเสถียรของการเชื่อมต่อ VPN และถ้าคำว่า "การแมป" ยังไม่คุ้น ลองอ่านพื้นฐานใน อุโมงค์ VPN คืออะไร

อะไรที่ใช้ไม่ได้หลัง CGNAT

สิ่งใดที่ต้องให้คนอื่นเป็นฝ่ายเริ่มสนทนากับบ้านของคุณจะได้รับผลกระทบทั้งหมด กรณีที่พบบ่อย

• ตั้ง VPN server ไว้ที่บ้าน เซิร์ฟเวอร์ที่บ้านต้องรับการเชื่อมต่อขาเข้า เมื่อไม่มี IP สาธารณะของตัวเองก็ไม่มีที่ให้รับ ข้อดีข้อเสียของทางนี้อยู่ใน VPN ที่โฮสต์เองกับ VPN เชิงพาณิชย์
• Port forwarding ที่เราเตอร์ กฎที่ตั้งไว้มีผลเฉพาะแพ็กเก็ตที่มาถึงเราเตอร์ ถ้าแพ็กเก็ตถูกหยุดที่อุปกรณ์ร่วมของผู้ให้บริการซึ่งอยู่สูงกว่า กฎก็ไม่มีโอกาสได้เห็น ดูหลักการได้ใน VPN port forwarding อธิบาย
• เข้าถึงกล้อง อุปกรณ์เก็บข้อมูล หรือระบบบ้านอัจฉริยะจากภายนอก ด้วยการเปิดพอร์ต อุปกรณ์เหล่านี้จำนวนมากทำงานผ่านคลาวด์ของผู้ผลิตแทน จึงมักยังใช้ได้
• โฮสต์เซิร์ฟเวอร์เกมหรือเล่นแบบเพียร์ทูเพียร์ ผู้เล่นอื่นเข้าหาคุณโดยตรงไม่ได้ เกมบางตัวจึงเปลี่ยนไปใช้รีเลย์ ซึ่งเพิ่มความหน่วง
• บริการใดก็ตามที่ต้องการที่อยู่คงที่หรือเข้าถึงได้ เช่นเว็บไซต์ส่วนตัวหรือเมลเซิร์ฟเวอร์

สิ่งที่ไม่พังสำคัญไม่แพ้กัน การท่องเว็บ Streaming วิดีโอคอล แชต คลาวด์สตอเรจ และแอป VPN ในอุปกรณ์ของคุณทำงานต่อไปได้ เพราะคุณเป็นฝ่ายเริ่มการเชื่อมต่อเหล่านั้นเอง

ตารางสรุป อะไรใช้ได้ อะไรใช้ไม่ได้

งาน	หลัง CGNAT	หมายเหตุ
ท่องเว็บและ Stream	ใช้ได้	ทราฟฟิกขาออกเท่านั้น
แอป VPN บนมือถือหรือโน้ตบุ๊ก	ใช้ได้	อุโมงค์ขาออก ระวัง idle timeout
วิดีโอคอลและแชต	ใช้ได้	อาจใช้เซิร์ฟเวอร์รีเลย์เมื่อเส้นทางตรงใช้ไม่ได้
กล้องหรืออุปกรณ์สมาร์ทที่พึ่งคลาวด์	มักใช้ได้	อุปกรณ์เรียกออกไปหาคลาวด์ของผู้ผลิต
โฮสต์ VPN server ที่บ้าน	ใช้ไม่ได้	ต้องการการเข้าถึงขาเข้า
Port forwarding ไปยังเกมหรือเว็บเซิร์ฟเวอร์	ใช้ไม่ได้	อุปกรณ์ร่วมบล็อกขาเข้า
ส่งไฟล์เพียร์ทูเพียร์โดยตรง	มักถูกจำกัด	ขึ้นกับทั้งสองฝั่ง
ใช้ IPv6 สำหรับการเข้าถึงขาเข้า	อาจใช้ได้	ถ้าผู้ให้บริการส่ง IPv6 มาถึงบ้านและไฟร์วอลล์อนุญาต

ทางออกถ้าต้องการให้เข้าถึงจากภายนอก

ถ้าเป้าหมายของคุณคือปกป้องทราฟฟิกและเชื่อมต่อจากที่บ้าน คุณไม่ต้องทำอะไรเลยในหัวข้อนี้ แต่ถ้าจำเป็นต้องเข้าถึงอะไรสักอย่างที่บ้านจริง ๆ มีสี่ทางที่พบบ่อย

1. ขอ IPv4 สาธารณะจากผู้ให้บริการ ผู้ให้บริการหลายรายให้ที่อยู่เฉพาะตามคำขอ บางครั้งมีค่าธรรมเนียมรายเดือนเล็กน้อย ถ้อยคำที่ใช้ต่างกัน ให้ลองถามว่า "ขอ public IP" หรือ "ขอเลิกใช้ CGNAT" เป็นทางตรงที่สุด
2. ใช้ IPv6 ถ้าผู้ให้บริการให้ช่วง IPv6 สาธารณะมาที่บ้าน คุณเข้าถึงอุปกรณ์ผ่าน IPv6 จากเครือข่ายที่รองรับ IPv6 ได้ ทั้งสองฝั่งต้องมี IPv6 และต้องตั้งไฟร์วอลล์ของเราเตอร์อย่างตั้งใจ เพราะทุกเครื่องจะเข้าถึงได้โดยปริยายถ้าไฟร์วอลล์ไม่ห้าม
3. ใช้เครื่องมือรีเลย์หรือ overlay มีบริการและเครื่องมือโอเพนซอร์สที่เชื่อมอุปกรณ์ของคุณผ่านตัวประสานงาน โดยไม่ต้องเปิดพอร์ตที่ฝั่งใดเลย เป็นหมวดเดียวกับที่อธิบายใน Mesh VPN คืออะไร แต่ต้องประเมินความไว้ใจที่มอบให้ตัวประสานงานเอง
4. เช่าเซิร์ฟเวอร์เล็ก ๆ ที่มี IP สาธารณะ เซิร์ฟเวอร์เสมือนราคาประหยัดในดาต้าเซ็นเตอร์เป็นจุดนัดพบได้ อุปกรณ์ที่บ้านเชื่อมต่อออกไปหามันค้างไว้ แล้วคุณเชื่อมต่อเข้าหาจากที่อื่น ต้องดูแลและอัปเดต จึงเหมาะเฉพาะคนที่สบายใจกับการดูแลเซิร์ฟเวอร์

ระวังคำแนะนำที่บอกว่า "เปิดพอร์ตก็จบ" เพราะบน CGNAT คำแนะนำนั้นผิด ทำตามแล้วเสียเวลาทั้งเย็นเปล่า และอย่าไว้ใจเครื่องมือใดที่ให้คุณเปิดบริการสู่อินเทอร์เน็ตทั้งหมดโดยไม่มีการยืนยันตัวตน

CGNAT กับที่อยู่ที่เว็บไซต์มองเห็น

CGNAT มีผลต่อที่อยู่ที่เว็บไซต์เห็น แม้จะไม่ใช้ VPN ลูกค้าจำนวนมากใช้ IP สาธารณะเดียวกัน เว็บไซต์ที่เห็นความพยายามล็อกอิน การค้นหา หรือการซื้อซ้ำ ๆ จากที่อยู่นั้นอาจใช้การตรวจสอบเข้มขึ้น คุณอาจเจอ CAPTCHA บ่อยขึ้น หรือบางครั้งการล็อกอินขอการยืนยันเพิ่ม

เมื่อเปิด VPN ที่อยู่ร่วมนั้นจะถูกสลับเป็นที่อยู่ของเซิร์ฟเวอร์ VPN ซึ่งผู้ใช้คนอื่นอาจใช้ร่วมอยู่ด้วย ทั้งสองกรณีไม่ใช่ความผิดปกติ เป็นเรื่องของคนหลายคนอยู่หลังที่อยู่เดียว และเว็บไซต์ตอบสนองอย่างระมัดระวัง ถ้าเจอ CAPTCHA บ่อย ดูวิธีแก้ทั่วไปใน เว็บโหลดไม่ขึ้นหรือขึ้น CAPTCHA เมื่อใช้ VPN และบทความ IP ร่วมกับ IP เฉพาะของ VPN อธิบายว่าทำไมที่อยู่ร่วมจึงมีพฤติกรรมเช่นนี้

อย่าถือเป็นเหตุผลที่จะลองใช้เล่ห์เพื่อฝ่าฝืนกฎของเว็บไซต์ ถ้าบริการใดบล็อกคุณ ให้ติดต่อผ่านช่องทางอย่างเป็นทางการ

สามสถานการณ์จริง

นักศึกษาในหอพัก หอของพลอยให้แต่ละห้องใช้ที่อยู่ส่วนตัว และใช้ IP สาธารณะร่วมกันทั้งอาคาร มือถือและโน้ตบุ๊กของเธอใช้แอป VPN ทุกวันบน Wi-Fi หอและไม่มีปัญหา เพราะเป็นการเชื่อมต่อขาออก เธออยากเปิดเซิร์ฟเวอร์เกมเล็ก ๆ ให้เพื่อน แต่ไม่มีใครเข้าได้ จึงรู้ว่าเป็นเพราะ CGNAT เธอเลือกใช้เครื่องมือแบบรีเลย์หรือเช่าเซิร์ฟเวอร์ แทนที่จะรอให้หอเปลี่ยน

คนทำงานระยะไกลบนข้อมูลมือถือ มาร์กทำงานในพื้นที่ชนบทที่ฮอตสปอตมือถือเป็นการเชื่อมต่อเดียว ผู้ให้บริการมือถือแบ่งที่อยู่ให้ลูกค้าหลายคนใช้ร่วมกัน เขาเชื่อมต่อ VPN ของที่ทำงานและแอป VPN ส่วนตัวได้โดยไม่ติดขัด แต่เข้าระบบกล้องที่บ้านด้วย port forwarding ไม่ได้ ทว่าคลาวด์ของผู้ผลิตกล้องใช้ได้ เขาจึงใช้ทางนั้น

คนชอบทำแล็บที่บ้าน ออมมีไฟล์เซิร์ฟเวอร์เล็ก ๆ และอยากเข้าถึงระหว่างเดินทาง ผู้ให้บริการยืนยันว่าเธออยู่หลัง CGNAT และเสนอ IP สาธารณะเพิ่มเดือนละเล็กน้อย เธอเทียบกับเครื่องมือรีเลย์ เห็นว่าค่าธรรมเนียมไม่คุ้มสำหรับการเข้าถึงนาน ๆ ครั้ง จึงใช้รีเลย์ ข้อสรุปคือทางออกที่ "ดีที่สุด" ขึ้นกับว่าคุณต้องการการเข้าถึงขาเข้าบ่อยแค่ไหน และสบายใจกับบุคคลที่สามที่เกี่ยวข้องเพียงใด

ข้อผิดพลาดที่พบบ่อยและข้อจำกัด

• โทษ VPN ทั้งที่สาเหตุจริงคือ CGNAT ถ้า port forwarding ไม่ได้ผลและคุณไม่มี IP สาธารณะ การตั้งค่า VPN ใด ๆ ก็แก้ไม่ได้
• คิดว่า VPN ให้ที่อยู่สำหรับรับการเชื่อมต่อขาเข้า VPN แค่ให้เว็บไซต์เห็นที่อยู่ต่างไปเท่านั้น ผู้ให้บริการบางรายมี port forwarding เป็นบริการเสริม แต่ขึ้นกับผู้ให้บริการแต่ละราย อย่าคิดไปเองว่าของคุณมี
• เผลอเปิดอุปกรณ์สู่ IPv6 ถ้าผู้ให้บริการเปิด IPv6 ให้ตรวจว่าไฟร์วอลล์ของเราเตอร์บล็อกการเชื่อมต่อขาเข้าที่ไม่ได้ขอ
• ใช้รหัสผ่านอ่อนกับสิ่งที่เข้าถึงได้จากภายนอก บริการที่เปิดอยู่จะถูกสแกนอยู่ตลอด ใช้รหัสผ่านที่แข็งแรงและไม่ซ้ำ และเปิด การยืนยันตัวตนสองขั้นตอน ถ้ามี
• คิดว่า CGNAT คือความเป็นส่วนตัว การใช้ที่อยู่ร่วมกับเพื่อนบ้านไม่ได้ซ่อนคุณจากผู้ให้บริการ ซึ่งรู้ว่าลูกค้ารายไหนใช้การแมปใด

ถ้าอยากเลือกว่าการตั้งค่าแบบไหนเหมาะกับคุณ การสร้างแบบจำลองภัยคุกคามง่าย ๆ เป็นแบบฝึกหัดสั้น ๆ ที่ช่วยตัดสินว่าคุณต้องการการเข้าถึงขาเข้าจริงหรือไม่

สรุป

CGNAT คือการที่ผู้ให้บริการใช้ IPv4 สาธารณะตัวเดียวร่วมกันหลายราย แอป VPN ยังใช้ได้หลัง CGNAT เพราะอุโมงค์ถูกเริ่มจากฝั่งคุณ สิ่งที่ใช้ไม่ได้คือสิ่งที่ต้องให้คนภายนอกเชื่อมต่อเข้ามา เช่น VPN server ที่บ้าน port forwarding การเข้าถึงจากระยะไกลโดยตรง และการโฮสต์เกมบางแบบ ยืนยัน CGNAT ได้ด้วยการเทียบที่อยู่ WAN ของเราเตอร์กับ IP สาธารณะ และถ้าต้องการการเข้าถึงขาเข้า ให้ขอ IP สาธารณะจากผู้ให้บริการ ใช้ IPv6 อย่างระมัดระวัง หรือเลือกเครื่องมือรีเลย์หรือเซิร์ฟเวอร์เช่า

ถ้าคุณแค่อยากได้ VPN สำหรับอุปกรณ์ของคุณ ลองดูแพ็กเก็จเติมเงินที่หน้าราคา ซึ่งเป็นการเชื่อมต่อขาออกเหมือนการเชื่อมต่ออื่นทั่วไป