Virtual Private Network คืออะไร? รูปแบบและการใช้งาน

"Virtual Private Network" เป็นวลีที่คนพูดกันทุกวันโดยไม่เคยแยกออกเป็นคำ ๆ ทั้งที่แต่ละคำทำงานจริง และเมื่อเข้าใจความหมายของแต่ละคำแล้ว VPN หลายแบบ ตั้งแต่ตัวที่นายจ้างใช้ไปจนถึงแอปบนมือถือ จะดูเป็นรูปแบบต่าง ๆ ของแนวคิดเดียวกัน ไม่ใช่ผลิตภัณฑ์ที่ไม่เกี่ยวกัน

บทความนี้ใช้ชื่อเต็มอย่างตั้งใจ อ่านวลีนี้ทีละคำ ไล่ที่มาของแนวคิด เปรียบเทียบประเภทหลักในตาราง อธิบายตระกูลเทคนิคที่อยู่เบื้องหลัง และปิดท้ายด้วยวิธีที่ใช้ได้จริงในการจับคู่ประเภทกับความต้องการ ถ้าอยากได้นิยามสั้น ๆ ก่อน บทความ VPN คืออะไร อธิบายไว้ในไม่กี่ย่อหน้า

อ่านชื่อให้ขาด Virtual, Private, Network

ลองอ่านย้อนจากท้ายมาต้น เพราะคำที่สามง่ายที่สุด

Network (เครือข่าย) คือกลุ่มอุปกรณ์ที่แลกเปลี่ยนข้อมูลกันได้ Wi-Fi ที่บ้านคือเครือข่าย LAN ของบริษัทก็เป็นเครือข่าย อินเทอร์เน็ตทั้งใบก็เป็นเครือข่ายเช่นกัน สิ่งสำคัญคือสมาชิกของเครือข่ายเข้าถึงกันได้

Private (ส่วนตัว) เครือข่ายส่วนตัวคือเครือข่ายที่มีเฉพาะสมาชิกที่ได้รับอนุญาตเข้าร่วมได้ และคนนอกอ่านทราฟฟิกไม่ได้ เครือข่ายออฟฟิศทั่วไปเป็นส่วนตัวเพราะอยู่หลังประตูที่ล็อกและไฟร์วอลล์ คนที่ยืนอยู่ข้างถนนเสียบสายหรือแอบฟังไม่ได้

Virtual (เสมือน) นี่คือคำที่ชาญฉลาดที่สุด Virtual Private Network ได้ประโยชน์ของเครือข่ายส่วนตัวโดยไม่ต้องสร้างขึ้นมาจริง ๆ แทนที่จะลากสายเฉพาะระหว่างสถานที่ มันใช้อินเทอร์เน็ตที่มีอยู่และใช้ร่วมกัน แล้วสร้างส่วนที่เป็น "ส่วนตัว" ด้วยซอฟต์แวร์ ทราฟฟิกถูกห่อและเข้ารหัสให้ทำตัวเหมือนวิ่งอยู่บนสายปิด

เมื่อรวมกัน วลีนี้อธิบายเครือข่ายส่วนตัวที่มีอยู่แบบเสมือนบนโครงสร้างพื้นฐานที่ใช้ร่วมกัน คำนิยามนี้อธิบายว่าทำไม VPN ในทางปฏิบัติจึงดูแตกต่างกันมาก ส่วน "ส่วนตัว" อาจเป็นลิงก์ระหว่างสองออฟฟิศ การเชื่อมต่อจากแล็ปท็อปของพนักงานเข้าบริษัท หรือเส้นทางป้องกันจากมือถือไปยังเซิร์ฟเวอร์บนอินเทอร์เน็ตเปิด สิ่งที่เปลี่ยนมีเพียงปลายทางทั้งสองข้าง

ข้อควรระวังเกี่ยวกับคำว่า "ส่วนตัว" คือมันอธิบายความลับของการส่งข้อมูล ไม่ได้หมายถึงการปกปิดตัวตน VPN ป้องกันไม่ให้คนอื่นอ่านเนื้อหาและปลายทางขณะข้อมูลข้ามเครือข่ายร่วม แต่ไม่ได้ตัดผู้ดูแล VPN ออกจากภาพ และไม่ได้ทำให้เว็บไซต์ที่คุณล็อกอินจำบัญชีของคุณไม่ได้

ประวัติโดยย่อของแนวคิด

บริษัทต้องการเชื่อมสำนักงานมานานก่อนที่อินเทอร์เน็ตจะเป็นโครงสร้างพื้นฐานของชีวิตประจำวัน วิธีคลาสสิกคือเช่าสายเฉพาะจากผู้ให้บริการโทรคมนาคมระหว่างแต่ละคู่ของสถานที่ แม้จะเป็นส่วนตัวและเชื่อถือได้ แต่แพงมาก และค่าใช้จ่ายเพิ่มตามจำนวนสำนักงาน

ในช่วงต่อมา ผู้ให้บริการเริ่มขายวงจรเสมือนบนเครือข่ายที่ใช้ร่วมกัน ลูกค้าแต่ละรายจึงมีเครือข่ายที่แยกกันเชิงตรรกะโดยไม่ต้องมีสายแยกทางกายภาพ ธุรกิจยังเห็นว่าอินเทอร์เน็ตสาธารณะรับส่งทราฟฟิกเดียวกันได้ถูกกว่ามาก ถ้ามีการป้องกัน ในทศวรรษ 1990 มาตรฐานการเข้ารหัสและห่อหุ้มทราฟฟิกเติบโตขึ้น รวมถึงตระกูล IPsec และพนักงานที่ทำงานระยะไกลเริ่มต่อเข้ามาผ่านอินเทอร์เน็ตแทนการโทรทางไกล

การเปลี่ยนแปลงสองอย่างหลังจากนั้นหล่อหลอมสิ่งที่เราเห็นวันนี้ อย่างแรก ความปลอดภัยของเว็บทั่วไปพัฒนาขึ้น VPN ที่สร้างบนการขนส่งแบบเข้ารหัสเดียวกับที่ปกป้องเว็บไซต์จึงใช้งานได้จริง อย่างที่สอง ความต้องการของผู้บริโภคเพิ่มขึ้น เมื่อผู้คนเริ่มใช้ Wi-Fi สาธารณะในร้านกาแฟ โรงแรม และสนามบิน แอป VPN ส่วนบุคคลนำเทคนิคของธุรกิจเดิมมาแพ็กเกจให้บุคคลทั่วไป คือติดตั้งแอป ล็อกอิน แล้วเชื่อมต่อ

ประเด็นของประวัติศาสตร์นี้ไม่ใช่ปี แต่คือรูปแบบ ทุกก้าวเปลี่ยนของที่แพงและเฉพาะตัวให้เป็นของที่ใช้ร่วมกันและกำหนดด้วยซอฟต์แวร์ โดยรักษาคุณสมบัติที่สำคัญไว้ คือคนอื่นอ่านทราฟฟิกของคุณไม่ได้

ประเภทหลักของ VPN

ชื่อเดียวกันครอบคลุมรูปแบบที่แตกต่างกันมาก ตารางนี้เปรียบเทียบแบบที่คุณน่าจะเจอบ่อยที่สุด

ประเภท	เชื่อมอะไร	ผู้ใช้ทั่วไป	ใครดูแล
VPN แบบ remote-access	อุปกรณ์หนึ่งเครื่องเข้ากับเครือข่ายส่วนตัว	พนักงานที่ทำงานที่บ้านหรือเดินทาง	นายจ้าง
VPN แบบ site-to-site	เครือข่ายทั้งเครือข่ายตั้งแต่สองขึ้นไป	สำนักงานใหญ่กับสาขา	องค์กรหรือผู้ให้บริการไอที
เครือข่ายส่วนตัวที่ผู้ให้บริการจัดการ	หลายสาขาของบริษัทผ่านเครือข่ายของผู้ให้บริการ	ธุรกิจขนาดใหญ่ที่มีหลายสำนักงาน	ผู้ให้บริการโทรคมนาคม
บริการ VPN ส่วนบุคคล	อุปกรณ์หนึ่งเครื่องกับเซิร์ฟเวอร์บนอินเทอร์เน็ตเปิด	บุคคลทั่วไปบน Wi-Fi สาธารณะหรือขณะเดินทาง	ผู้ให้บริการเชิงพาณิชย์
VPN แบบ mesh หรือ overlay	อุปกรณ์จำนวนมากเชื่อมถึงกันโดยตรง	ทีมเล็ก ครัวเรือนสายเทคนิค	ผู้ใช้เองผ่านเครื่องมือประสานงาน

หมายเหตุสั้น ๆ สำหรับแต่ละแบบ

VPN แบบ remote-access เมื่อคุณ "ล็อกอินเข้า VPN ของบริษัท" นี่คือสิ่งที่คุณใช้ ซอฟต์แวร์บนแล็ปท็อปสร้างอุโมงค์ไปยังเกตเวย์ที่ออฟฟิศ และให้คุณเข้าถึงเครื่องมือภายใน เช่นที่เก็บไฟล์หรือหน้าอินทราเน็ต มักขอการยืนยันตัวตนขั้นที่สอง และอาจตรวจว่าอุปกรณ์อัปเดตแล้วหรือยัง คู่มือ telework ของ NIST อธิบายมาตรการความปลอดภัยที่องค์กรมักใช้

VPN แบบ site-to-site ไม่มีใครนั่งเชื่อมต่อด้วยมือ เราเตอร์หรือไฟร์วอลล์สองตัวคงลิงก์เข้ารหัสไว้ถาวร และอุปกรณ์ทุกเครื่องหลังตัวใดตัวหนึ่งเข้าถึงอีกฝั่งได้เหมือนอยู่ในอาคารเดียวกัน ผู้ใช้ไม่ต้องติดตั้งอะไร

เครือข่ายส่วนตัวที่ผู้ให้บริการจัดการ องค์กรขนาดใหญ่บางครั้งซื้อเครือข่ายส่วนตัวจากผู้ให้บริการแทนที่จะสร้างเองบนอินเทอร์เน็ต ผู้ให้บริการแยกทราฟฟิกของลูกค้าแต่ละรายเชิงตรรกะบนโครงข่ายของตน นี่คือ "virtual private network" ในความหมายแบบผู้ให้บริการแบบเก่า และไม่จำเป็นต้องเข้ารหัสทราฟฟิก เว้นแต่ลูกค้าจะเพิ่มเอง

บริการ VPN ส่วนบุคคล นี่คือสิ่งที่ผู้บริโภคส่วนใหญ่หมายถึง คุณเชื่อมต่อกับเซิร์ฟเวอร์ที่บริการนั้นดูแล และจากที่นั่นทราฟฟิกออกสู่อินเทอร์เน็ตเปิด เป้าหมายคือการป้องกันบนเครือข่ายที่ใช้ร่วมกับคนแปลกหน้า ไม่ใช่การเข้าถึงออฟฟิศส่วนตัว ความต่างระหว่างแบบนี้กับ VPN ธุรกิจอธิบายลึกขึ้นใน VPN ธุรกิจกับ VPN ส่วนบุคคล

VPN แบบ mesh หรือ overlay เชื่อมอุปกรณ์ถึงกันโดยตรง แล็ปท็อปจึงเข้าถึงคอมพิวเตอร์ที่บ้านได้โดยไม่ต้องเปิดพอร์ตบนเราเตอร์ที่บ้าน เครื่องมือ mesh VPN อธิบายว่าเมื่อไรมีประโยชน์

ตระกูลเทคนิคที่อยู่ข้างใต้

เบื้องหลังประเภทเหล่านี้มีแนวทางเทคนิคอยู่ไม่กี่แบบ คุณไม่ต้องจำ แต่การรู้จักชื่อช่วยเวลาอ่านเอกสาร

ตระกูล	แนวคิดพื้นฐาน	พบที่ไหน
IPsec	รักษาความปลอดภัยที่ชั้นเครือข่าย (IP) กำหนดด้วยชุดมาตรฐาน	ลิงก์ site-to-site ไคลเอนต์ที่มากับระบบปฏิบัติการ
แบบใช้ TLS (มักเรียก SSL VPN)	ใช้การขนส่งแบบเข้ารหัสเดียวกับที่ปกป้องเว็บไซต์	การเข้าถึงระยะไกลขององค์กร พอร์ทัลบนเบราว์เซอร์
WireGuard	โปรโตคอลสมัยใหม่ขนาดกะทัดรัด ออกแบบให้ตรวจสอบได้ง่าย	VPN ส่วนบุคคลและธุรกิจ ดูได้ที่เว็บไซต์ทางการ
OpenVPN	VPN โอเพนซอร์สที่มีมานานและสร้างบน TLS	ทั้งธุรกิจและส่วนบุคคล
โปรโตคอลรุ่นเก่า เช่น PPTP	ดีไซน์ยุคแรกที่ปัจจุบันถือว่าอ่อน	เลิกใช้เป็นส่วนใหญ่

IPsec กำหนดไว้ในสถาปัตยกรรมความปลอดภัยของ RFC 4301 และคู่มือ IPsec VPN ของ NIST อธิบายว่าองค์กรควรเลือกและตั้งค่าอย่างไร ถ้าอยากได้การเปรียบเทียบตรง ๆ ของสองโปรโตคอลโอเพนซอร์สที่พูดถึงบ่อยที่สุด ให้ดูเรื่อง WireGuard กับ OpenVPN ประเด็นสำคัญสำหรับมือใหม่คือ ตระกูลกำหนดประสิทธิภาพและความเข้ากันได้ ไม่ได้กำหนดว่าสิ่งนั้นเป็น VPN หรือไม่

คำว่า "ส่วนตัว" ครอบคลุมอะไรและไม่ครอบคลุมอะไร

ควรชัดเจน เพราะคำว่า "ส่วนตัว" ชวนให้ตีความเกินจริง

Virtual Private Network ให้สิ่งเหล่านี้

• ความลับของทราฟฟิกระหว่างอุปกรณ์ของคุณกับปลายทาง VPN คนในเส้นทางร่วมจึงอ่านไม่ได้
• การตรวจความสมบูรณ์ คือถ้ามีการดัดแปลงระหว่างทางจะตรวจพบ
• การยืนยันตัวตน เฉพาะคนที่มีข้อมูลที่ถูกต้องเท่านั้นที่เข้าร่วมได้
• การเปลี่ยนที่อยู่ต้นทางที่มองเห็นของทราฟฟิก จากของคุณเป็นของปลายทาง

สิ่งที่ไม่ได้ให้

• ความเป็นนิรนาม ผู้ดูแล บัญชีของคุณ และเบราว์เซอร์ยังระบุตัวคุณได้
• การป้องกันมัลแวร์ ฟิชชิง หรือรหัสผ่านที่อ่อน
• ความปลอดภัยหลังปลายทาง ทราฟฟิกที่ออกจากเซิร์ฟเวอร์ VPN ส่วนบุคคลวิ่งบนอินเทอร์เน็ตปกติ จึงยังต้องมี HTTPS
• การรับประกันว่าทุกเว็บไซต์หรือแอปจะยอมรับการเชื่อมต่อ

เครือข่ายธุรกิจมีอีกประเด็น VPN แบบ remote-access ให้สิทธิ์เท่ากับคนที่อยู่ในเครือข่ายออฟฟิศ ถ้าผู้โจมตีขโมยข้อมูลล็อกอินได้ เขาก็ได้สิทธิ์เหล่านั้นไปด้วย หลายองค์กรจึงจับคู่ VPN กับการตรวจสอบที่เข้มงวดขึ้น ซึ่งกล่าวถึงใน Zero Trust กับ VPN

การใช้งานในชีวิตจริง จับคู่กับประเภท

การดูสถานการณ์จริงทำให้จำตารางประเภทได้ง่ายขึ้น

นักเดินทางบน Wi-Fi สนามบิน เธอต้องการให้เมลและธนาคารอ่านไม่ได้สำหรับผู้โดยสารคนอื่นในเครือข่ายเดียวกัน บริการ VPN ส่วนบุคคลคือประเภทที่ถูกต้อง งานของเธอไม่ต้องเข้าเครือข่ายออฟฟิศส่วนตัว

ที่ปรึกษาที่ทำงานจากบ้าน เขาต้องเปิดไฟล์เซิร์ฟเวอร์ที่มีอยู่เฉพาะภายในอาคารของลูกค้า ลูกค้าจัด VPN แบบ remote-access ให้ พร้อมบัญชีบริษัทและการยืนยันขั้นที่สอง VPN ส่วนบุคคลของเขาเองจะไม่ให้เขาเข้าไฟล์เซิร์ฟเวอร์นั้น เพราะเซิร์ฟเวอร์ไม่ได้อยู่บนอินเทอร์เน็ตเปิด

ร้านเล็กที่มีสาขาที่สอง เจ้าของอยากให้เครื่องคิดเงินที่สาขาที่สองคุยกับระบบสต็อกของสาขาแรกได้ VPN แบบ site-to-site ระหว่างเราเตอร์สองตัวทำให้ทั้งสองแห่งเป็นเครือข่ายส่วนตัวเดียวกัน โดยพนักงานไม่ต้องเชื่อมต่ออะไรเลย

ครอบครัวที่มีไดรฟ์เก็บข้อมูลที่บ้าน พวกเขาอยากเข้าถึงรูปที่เก็บไว้ที่บ้านขณะเดินทาง VPN แบบ mesh หรือ overlay ให้อุปกรณ์ของแต่ละคนเข้าถึงคอมพิวเตอร์ที่บ้านได้โดยตรง การเปิดไดรฟ์ให้ทั้งอินเทอร์เน็ตเข้าถึงเสี่ยงกว่ามาก

นักศึกษาในอพาร์ตเมนต์ร่วม ผู้อยู่อาศัยทุกคนใช้เครือข่ายเดียวกัน และเธอไม่รู้ว่ามีใครอีกบ้าง บริการ VPN ส่วนบุคคลปกป้องทราฟฟิกของเธอบนเครือข่ายนั้น และเธอตัดการเชื่อมต่อได้เมื่อระบบของมหาวิทยาลัยขอการยืนยันเพิ่มเติม

สังเกตว่าทุกคำตอบเริ่มจากสิ่งที่ต้องเข้าถึงหรือต้องปกป้อง ไม่ได้เริ่มจากชื่อผลิตภัณฑ์ นิสัยนี้ช่วยให้ไม่ซื้อเครื่องมือผิดชนิด

เลือกประเภทที่เหมาะ แนวทางตัดสินใจสั้น ๆ

ถามตัวเองตามลำดับดังนี้

1. ฉันต้องเข้าถึงสิ่งส่วนตัวที่ไม่ได้อยู่บนอินเทอร์เน็ตสาธารณะหรือไม่ เช่นไฟล์เซิร์ฟเวอร์ของบริษัทหรือคอมพิวเตอร์ที่บ้าน ถ้าใช่ คุณต้องการ VPN แบบ remote-access จากเจ้าของระบบ หรือเครื่องมือ mesh หรือ overlay สำหรับอุปกรณ์ของคุณเอง
2. ฉันต้องเชื่อมเครือข่ายทั้งเครือข่ายสองแห่งหรือไม่ ถ้าใช่ ให้คิดถึง site-to-site
3. ความกังวลหลักของฉันคือเครือข่ายที่ฉันนั่งอยู่หรือไม่ ร้านกาแฟ โรงแรม สนามบิน และที่พักร่วมอยู่ในกลุ่มนี้ บริการ VPN ส่วนบุคคลเหมาะ คนทำงานระยะไกล มักใช้ร่วมกับสิ่งที่นายจ้างจัดให้
4. ฉันไว้ใจใครให้ดูแลปลายทาง กับบริการ VPN ส่วนบุคคล ผู้ให้บริการมองเห็นปลายทางของทราฟฟิกหลังถอดรหัส ให้อ่านข้อกำหนดที่เผยแพร่ แล้วเปรียบเทียบตัวเลือกอย่างใจเย็น
5. ฉันต้องใช้นานแค่ไหน การสมัครสมาชิกต่ออายุไปเรื่อย ๆ จนกว่าจะยกเลิก แพ็กเกจเติมเงินที่กำหนดจำนวนวันจะหมดอายุเอง เหมาะกับทริปหรือโครงการ ตรวจว่ารูปแบบการชำระเงินตรงกับความต้องการ

การสับสนระหว่างประเภทเป็นความผิดพลาดที่มือใหม่พบบ่อยที่สุด คนที่ซื้อ VPN ส่วนบุคคลโดยหวังจะเปิดไฟล์เซิร์ฟเวอร์ของออฟฟิศจะผิดหวัง และคนที่ใช้ VPN ของบริษัทท่องเว็บทั่วไปอาจกำลังส่งกิจกรรมส่วนตัวผ่านระบบของนายจ้าง

แนวคิดใกล้เคียงที่ไม่ใช่สิ่งเดียวกัน

มีหลายอย่างที่มักถูกสับสนกับ Virtual Private Network

• Proxy ส่งต่อทราฟฟิกบางอย่าง และโดยทั่วไปไม่ได้เข้ารหัสทั้งหมด
• Tor ส่งทราฟฟิกผ่านรีเลย์ที่อาสาสมัครดูแลหลายจุด ด้วยเป้าหมายและข้อแลกเปลี่ยนที่ต่างออกไป
• Zero trust เป็นแนวทางความปลอดภัยที่ตรวจทุกคำขอ แทนที่จะไว้ใจใครก็ตามที่อยู่ในเครือข่าย
• โหมดส่วนตัวของเบราว์เซอร์ แค่ไม่ให้เบราว์เซอร์ของคุณเก็บประวัติบนเครื่อง

แต่ละอย่างแก้ปัญหาต่างกัน Virtual Private Network เข้าใจได้ดีที่สุดว่าเป็นเส้นทางส่วนตัวข้ามเครือข่ายร่วม และทุกอย่างอื่นในรายการนี้เป็นอีกเรื่องหนึ่ง

คำถามที่ควรถามก่อนเลือกใช้ VPN ทุกแบบ

ไม่ว่าจะเป็นประเภทไหน มีคำถามไม่กี่ข้อที่ช่วยให้คุณไม่หลงทาง

• ใครเป็นผู้ควบคุมปลายทางของอุโมงค์ และฉันไว้ใจเขาด้วยเหตุผลอะไร
• ข้อกำหนดบอกชัดหรือไม่ว่าเก็บข้อมูลอะไร ถ้าไม่ชัด นั่นเป็นสัญญาณที่ต้องระวัง
• มีแอปสำหรับอุปกรณ์ของฉันหรือไม่ และใช้งานง่ายพอที่ฉันจะเปิดใช้จริงทุกวัน
• ถ้ามีปัญหา ติดต่อใครได้ และด้วยภาษาอะไร
• ถ้าฉันเลิกใช้ จะเกิดอะไรขึ้นกับบัญชีและค่าใช้จ่ายที่ตามมา

คำถามเหล่านี้ใช้ได้ทั้งกับ VPN ที่บริษัทจัดให้และ VPN ที่คุณซื้อเอง ถ้าคุณได้คำตอบที่ชัดเจนและตรงไปตรงมา ก็มีโอกาสสูงที่จะได้ใช้เครื่องมือที่ตรงกับความต้องการ

สรุป

Virtual Private Network คือเครือข่ายส่วนตัวที่สร้างแบบเสมือน แทนที่จะใช้สายเฉพาะ มันใช้โครงสร้างพื้นฐานร่วมกันและปกป้องทราฟฟิกด้วยการห่อหุ้มและการเข้ารหัส ประเภทหลักคือ remote-access, site-to-site, ที่ผู้ให้บริการจัดการ, ส่วนบุคคล และ mesh ซึ่งต่างกันที่สิ่งที่เชื่อมและผู้ดูแล มากกว่าแนวคิดพื้นฐาน ให้จับคู่ประเภทกับสิ่งที่คุณต้องเข้าถึงหรือปกป้อง จำไว้ว่าส่วนตัวหมายถึงเป็นความลับ ไม่ใช่นิรนาม และเลือกผู้ดูแลปลายทางอย่างรอบคอบ

ถ้า VPN ส่วนบุคคลเหมาะกับสถานการณ์ของคุณ ดู หน้าราคา ได้ตามสะดวก