VPN Tunnel คืออะไร? ข้อมูลวิ่งผ่านอย่างไร

คำว่า "อุโมงค์" ชวนให้นึกถึงของจริง เป็นท่อที่ข้อมูลเข้าทางปลายหนึ่งแล้วออกอีกปลายหนึ่ง ภาพนี้ช่วยได้ราวห้าวินาทีแรก แล้วหลังจากนั้นเริ่มทำให้เข้าใจผิด VPN Tunnel ไม่ใช่สถานที่ ไม่ใช่สายเคเบิล และไม่ใช่ถนนแยกต่างหาก มันคือวิธีบรรจุข้อมูลเพื่อให้ตอนที่ข้อมูลข้ามเครือข่ายที่คุณควบคุมไม่ได้ ไม่มีใครมองเห็นว่าข้างในคืออะไรและสุดท้ายจะไปที่ไหน

บทความนี้แยกอุโมงค์ออกมาดูทีละชิ้น คุณจะเห็นว่าแพ็กเก็ตหนึ่งถูกห่อในอีกแพ็กเก็ตหนึ่งอย่างไร คนที่แอบดูเครือข่ายร้านกาแฟเห็นอะไรจริง ๆ อุโมงค์เกิดขึ้น คงอยู่ และปิดลงอย่างไร ทำไมจึงเสียความเร็วเล็กน้อย และมีอาการอะไรเมื่ออุโมงค์ค้าง สำหรับภาพใหญ่ว่าทำไมคนถึงใช้ VPN บทความ VPN ทำงานอย่างไร เป็นคู่หูที่เหมาะ

อุโมงค์คือวิธีการ ไม่ใช่สถานที่

ทุกอย่างบนอินเทอร์เน็ตเดินทางเป็นแพ็กเก็ต คือชิ้นข้อมูลเล็ก ๆ ที่มีป้ายหน้า (เฮดเดอร์) บอกว่ามาจากไหนและกำลังไปไหน โทรศัพท์ของคุณสร้างแพ็กเก็ตเหล่านี้ตลอดเวลา หนึ่งชิ้นต่อทุกส่วนย่อยของหน้าเว็บ ข้อความ หรือเฟรมวิดีโอ

การทำอุโมงค์คือการหยิบแพ็กเก็ตที่สมบูรณ์ใบหนึ่งทั้งป้ายและเนื้อใน มาถือเป็นสินค้า ซอฟต์แวร์ VPN จะใส่ทั้งก้อนลงในแพ็กเก็ตใหม่ที่ติดป้ายใหม่ เทคนิคนี้เรียกว่าการห่อหุ้ม (encapsulation) ป้ายใหม่ชี้ไปที่เซิร์ฟเวอร์ VPN ไม่ใช่เว็บไซต์ที่คุณอยากเข้า และเนื่องจากสินค้าข้างในถูกเข้ารหัสด้วย ทั้งป้ายเดิมและเนื้อหาจึงอ่านไม่ได้สำหรับทุกคนระหว่างทาง

เปรียบเทียบกับบริการส่งพัสดุจะเห็นภาพ สมมติคุณอยากส่งจดหมายถึงเพื่อน แต่ไม่อยากให้ไปรษณีย์หรือเพื่อนบ้านในซอยรู้ว่าเป็นของใคร คุณจึงเอาจดหมายที่เขียนชื่อเพื่อนไว้บนซองเรียบร้อยแล้ว ใส่ลงกล่องใหญ่ที่ปิดผนึกและจ่าหน้าถึงสำนักงานที่ไว้ใจ สำนักงานเปิดกล่อง อ่านซองใน แล้วส่งต่อ ตลอดทางกล่องแสดงแค่ที่อยู่ของสำนักงาน กล่องนั้นคืออุโมงค์ ส่วนฝาที่ปิดผนึกคือการเข้ารหัส

จากภาพนี้ได้ข้อสรุปสองข้อทันที

• อุโมงค์วิ่งบนสายเส้นเดียวกับสิ่งอื่นทั้งหมด ไม่ได้มีใครขุดทางพิเศษ สิ่งที่เปลี่ยนคือหน้าตาของข้อมูลเมื่อมองจากภายนอก
• อุโมงค์มีอยู่เฉพาะระหว่างสองปลายของมันเท่านั้น ก่อนที่อุปกรณ์ของคุณจะห่อ และหลังจากที่เซิร์ฟเวอร์แกะ ข้อมูลอยู่ในรูปปกติ

โครงสร้างของแพ็กเก็ตที่อยู่ในอุโมงค์

การเห็นเป็นชั้น ๆ ทำให้ความคิดนี้จับต้องได้ แพ็กเก็ตในอุโมงค์มีป้ายสองชุดและแกนกลางที่เข้ารหัสหนึ่งชั้น

ชั้น	มีอะไรอยู่	ใครอ่านได้
เฮดเดอร์ชั้นนอก	ที่อยู่อุปกรณ์ของคุณเป็นผู้ส่ง ที่อยู่เซิร์ฟเวอร์ VPN เป็นผู้รับ	ทุกคนในเส้นทาง เช่น เราเตอร์ร้านกาแฟ ผู้ให้บริการอินเทอร์เน็ต
ตัวห่ออุโมงค์	ข้อมูลเทคนิคที่ระบุเซสชันและช่วยให้เซิร์ฟเวอร์ถอดรหัส	มองเห็นเป็นเมทาดาตา แต่ไม่มีความหมายถ้าไม่มีกุญแจ
แกนที่เข้ารหัส	แพ็กเก็ตเดิม รวมเฮดเดอร์และข้อมูลของมันเอง	เฉพาะอุปกรณ์ของคุณและเซิร์ฟเวอร์ VPN
ข้างในแกน	ปลายทางจริง เช่นเว็บไซต์ และคำขอ	ซ่อนจากคนในเส้นทาง เซิร์ฟเวอร์ VPN เห็นหลังถอดรหัส

ลองดูว่าผู้สังเกตแต่ละคนเห็นอะไร

• คนที่ใช้ Wi-Fi เดียวกัน เห็นว่าอุปกรณ์ของคุณแลกเปลี่ยนแพ็กเก็ตที่เข้ารหัสอย่างต่อเนื่องกับที่อยู่เซิร์ฟเวอร์เพียงแห่งเดียว แต่ไม่เห็นว่าเบื้องหลังเป็นเว็บหรือแอปอะไร
• ผู้ให้บริการอินเทอร์เน็ตของคุณ เห็นแบบเดียวกัน คือทราฟฟิกไปยังที่อยู่เดียว เห็นขนาดและจังหวะเวลา แต่อ่านเนื้อหาไม่ได้
• เว็บไซต์ที่คุณเข้า เห็นคำขอมาจากที่อยู่ของเซิร์ฟเวอร์ VPN ไม่ใช่ของคุณ
• ผู้ดูแลเซิร์ฟเวอร์ VPN เห็นข้างในแกนหลังถอดรหัส ตรงนี้คือจุดที่ความไว้ใจผู้ให้บริการเข้ามาเกี่ยวข้อง ซึ่งอธิบายละเอียดกว่านี้ใน บทความเรื่องการเข้ารหัส VPN

อุโมงค์ไม่ได้ทำให้ทราฟฟิกล่องหน ผู้สังเกตยังบอกได้ว่ามีการใช้ VPN อยู่ ปริมาณข้อมูลคร่าว ๆ และช่วงเวลา สิ่งที่อุโมงค์ขจัดไปคือเนื้อหาที่อ่านออกและปลายทางที่แท้จริง

วงจรชีวิตของอุโมงค์ ตั้งต้น คงอยู่ เปลี่ยนกุญแจ และปิด

อุโมงค์ไม่ได้แค่ "เปิด" มันผ่านหลายช่วง และการรู้จักช่วงเหล่านี้ช่วยอธิบายพฤติกรรมแปลก ๆ

1. ตั้งต้น เมื่อคุณกดเชื่อมต่อ แอปติดต่อเซิร์ฟเวอร์ พิสูจน์ตัวตน และตกลงกุญแจเข้ารหัสชุดใหม่ นี่คือการจับมือ (handshake) จึงเป็นเหตุผลที่หนึ่งวินาทีแรกรู้สึกช้ากว่าที่เหลือ โปรโตคอล VPN แต่ละตระกูลทำขั้นนี้ต่างกัน และหน้าเรื่อง โปรโตคอล VPN เปรียบเทียบตระกูลเหล่านั้นไว้
2. ช่วงทำงานปกติ แพ็กเก็ตไหลสองทิศทาง ห่อตอนออกและแกะตอนเข้า แอปกับเซิร์ฟเวอร์เก็บสถานะของเซสชันร่วมกันเล็กน้อย
3. Keepalive เมื่อคุณไม่ได้ใช้งาน ข้อความเล็ก ๆ เป็นระยะจะบอกเครือข่ายและเซิร์ฟเวอร์ว่ายังต้องการอุโมงค์นี้ เราเตอร์ตามบ้านและเครือข่ายมือถือจำนวนมากลืมการเชื่อมต่อที่เงียบไปหนึ่งถึงสองนาทีโดยไม่บอก keepalive ช่วยป้องกันเรื่องนี้
4. เปลี่ยนกุญแจ การออกแบบที่ดีจะสลับกุญแจเข้ารหัสเป็นระยะระหว่างเซสชันยาว เพื่อให้หากกุญแจหลุด จะไขข้อมูลได้เพียงช่วงสั้น ๆ
5. ย้ายเครือข่ายหรือเชื่อมต่อใหม่ เมื่อโทรศัพท์ย้ายจาก Wi-Fi ไปเน็ตมือถือ ที่อยู่ของอุปกรณ์เปลี่ยน บางการออกแบบสังเกตได้และทำงานต่ออย่างต่อเนื่อง บางแบบต้องตั้งอุโมงค์ใหม่ คุณอาจเห็นช่วงขาดสั้น ๆ
6. ปิดลง เมื่อคุณตัดการเชื่อมต่อ สถานะเซสชันถูกทิ้งและกุญแจถูกลืม ทราฟฟิกกลับไปใช้เส้นทางปกติ

ช่วงเหล่านี้อธิบายสิ่งที่พบเห็นได้ทุกวันสามอย่าง การหยุดสั้น ๆ ตอนเชื่อมต่อคือการจับมือ อุโมงค์ที่ตายหลังแล็ปท็อปหลับคืออุโมงค์ที่ keepalive หายไป และอาการสะดุดเล็กน้อยตอนเดินออกจากตึกคือขั้นตอนย้ายเครือข่าย

ทำไมอุโมงค์เสียความเร็วเล็กน้อย

อุโมงค์ทุกแบบมีราคาเล็ก ๆ การเข้าใจมันขจัดความลึกลับของคำถาม "ทำไม VPN ช้า" ไปได้มาก

ไบต์ส่วนเกินในทุกแพ็กเก็ต การห่อเพิ่มเฮดเดอร์ใหม่และฟิลด์ด้านความปลอดภัย ถ้าเครือข่ายอนุญาตแพ็กเก็ตสูงสุดตามขนาดที่เรียกว่า MTU แพ็กเก็ตที่ห่อแล้วก็ต้องพอดีขนาดนั้น สมมติเส้นทางรับแพ็กเก็ตได้ 1,500 ไบต์ และอุโมงค์เพิ่มราว 80 ไบต์ แพ็กเก็ตเดิมข้างในจะใหญ่ได้ไม่เกินประมาณ 1,420 ไบต์ ตัวเลขจริงขึ้นกับการออกแบบ และที่ใช้ตรงนี้เป็นเพียงตัวอย่าง แต่การคิดเลขเหมือนกันทุกที่

การประมวลผล การเข้ารหัสและถอดรหัสต้องใช้แรง ซีพียูสมัยใหม่มีชุดคำสั่งเฉพาะสำหรับงานนี้ ดังนั้นบนมือถือและแล็ปท็อปรุ่นปัจจุบัน มันแทบไม่ใช่ตัวจำกัด

เส้นทางที่ยาวขึ้น ทราฟฟิกต้องไปที่เซิร์ฟเวอร์ก่อนแล้วจึงไปต่อที่เว็บไซต์ ระยะทางที่เพิ่มทำให้เกิดการหน่วง ซึ่งคำอธิบายของ Cloudflare เรื่อง latency อธิบายไว้ดี

ปัญหาการแตกแพ็กเก็ต ถ้าแพ็กเก็ตข้างในใหญ่เกินกว่าที่อุโมงค์รับได้ มันต้องถูกแบ่งเป็นชิ้น ซึ่งเสียเวลา การหาขนาดที่เหมาะสมตลอดเส้นทางเป็นงานที่อธิบายไว้ในมาตรฐาน Path MTU Discovery เมื่อกลไกนี้พัง คุณจะเจออาการเฉพาะตัว คือหน้าเล็ก ๆ และข้อความแชตใช้ได้ แต่การอัปโหลดไฟล์ใหญ่หรือบางเว็บไซต์ค้าง วิธีแก้ปกติคือลดขนาดแพ็กเก็ตในการตั้งค่า VPN หรือเปลี่ยนเครือข่าย

สำหรับคนส่วนใหญ่ที่ใช้อินเทอร์เน็ตดี ต้นทุนรวมคือปริมาณงานที่ลดลงไม่กี่เปอร์เซ็นต์และความหน่วงเพิ่มขึ้นไม่กี่สิบมิลลิวินาที เมื่ออยากแยกต้นทุนเหล่านี้ออกจากสาเหตุอื่นของความเร็ว ให้ดูเรื่องความเร็วอินเทอร์เน็ตเมื่อใช้ VPN

Full tunnel กับ Split tunnel

มีสองรูปแบบที่พบบ่อย

รูปแบบ	อะไรผ่านอุโมงค์	ใช้เมื่อ
Full tunnel	ทราฟฟิกทั้งหมดจากอุปกรณ์	ปกป้องทุกอย่างบน Wi-Fi ที่ไม่น่าไว้ใจ
Split tunnel	เฉพาะแอปหรือปลายทางที่เลือก	เก็บแอปธนาคารหรือเครื่องพิมพ์ในบ้านไว้นอกอุโมงค์

ใน full tunnel ตารางเส้นทางของอุปกรณ์ชี้ทราฟฟิกขาออกอินเทอร์เน็ตทั้งหมดเข้าอุโมงค์ ใน split tunnel รายการข้อยกเว้นสั้น ๆ จะอยู่บนการเชื่อมต่อปกติ กลไกของอุโมงค์เหมือนกันในทั้งสองแบบ สิ่งที่ต่างคือรายการทราฟฟิกที่ยอมให้เข้า ข้อแลกเปลี่ยนซึ่งอธิบายไว้ใน Split tunneling คืออะไร คือความสะดวกเทียบกับความครอบคลุม อะไรที่อยู่นอกอุโมงค์จะไม่ได้รับการป้องกันจากมันเลย

สิ่งที่อุโมงค์ไม่ครอบคลุม

สิ่งสำคัญที่สุดที่อุโมงค์ไม่ทำ คือการขยายออกไปเกินปลายทางของมัน มีสองข้อจำกัดที่ควรพูดตรง ๆ

1. หลังเซิร์ฟเวอร์ เมื่อเซิร์ฟเวอร์ VPN แกะแพ็กเก็ตและส่งต่อ ข้อมูลเดินทางบนอินเทอร์เน็ตปกติ ถ้าการเชื่อมต่อไปยังเว็บไซต์ใช้ HTTPS ข้อมูลยังเข้ารหัสถึงเว็บไซต์ ถ้าเป็น HTTP ธรรมดา ข้อมูลก็อ่านได้ในช่วงสุดท้ายนั้น อุโมงค์กับ HTTPS จึงเสริมกัน
2. ก่อนเชื่อมต่อและหลังตัดการเชื่อมต่อ อุโมงค์มีอยู่เฉพาะตอนที่มันทำงาน แอปที่เปิดตอนบูตเครื่องก่อนที่ VPN จะเชื่อมต่อ อาจส่งคำขอแรกออกไปนอกอุโมงค์

อุโมงค์ก็ไม่ตรวจว่าสิ่งที่อยู่ข้างในปลอดภัยหรือไม่ ไฟล์อันตรายหรือหน้าฟิชชิงเดินทางผ่านอุโมงค์เหมือนที่เดินทางโดยไม่มีอุโมงค์ทุกประการ อุโมงค์ปกป้องการเดินทาง ไม่ได้ปกป้องสินค้า

ชนิดของอุโมงค์ที่คุณอาจได้อ่านเจอ

คำนี้ถูกใช้อย่างหลวมในงานเครือข่าย การรู้ชนิดหลัก ๆ จึงช่วยได้

• อุโมงค์แบบ remote-access เชื่อมอุปกรณ์เครื่องเดียว เช่นแล็ปท็อปของคุณ เข้ากับเซิร์ฟเวอร์ เป็นชนิดที่อยู่เบื้องหลังแอป VPN ส่วนบุคคลและพนักงานที่ทำงานจากบ้าน
• อุโมงค์แบบ site-to-site เชื่อมสองเครือข่ายทั้งเครือข่าย เช่นสำนักงานใหญ่กับสาขา เพื่อให้อุปกรณ์ทุกเครื่องในสองฝั่งเข้าถึงกันได้โดยไม่ต้องติดตั้งอะไร
• Tunnel mode กับ transport mode เป็นสองตัวเลือกในตระกูลมาตรฐาน IPsec ใน tunnel mode แพ็กเก็ตเดิมทั้งใบถูกห่อ ใน transport mode ปกป้องเฉพาะส่วนข้อมูลและเฮดเดอร์เดิมยังอยู่ มาตรฐาน RFC 4301 ซึ่งว่าด้วยสถาปัตยกรรมความปลอดภัย กำหนดทั้งสองแบบ
• ชั้นที่ใช้ บางอุโมงค์ส่งเฟรมเครือข่ายทั้งหมด บางอุโมงค์ส่งเฉพาะแพ็กเก็ต IP แอป VPN สำหรับผู้ใช้ทั่วไปแทบทั้งหมดใช้แพ็กเก็ต IP เพราะง่ายและเบากว่า
• การขนส่งด้านล่าง แพ็กเก็ตชั้นนอกวิ่งบน UDP หรือ TCP ได้ UDP มักเร็วกว่า ส่วน TCP อาจผ่านเครือข่ายที่เข้มงวดบางแห่งได้ง่ายกว่าแต่ต้องแลกกับประสิทธิภาพ นี่เป็นรายละเอียดการออกแบบที่แอปมักเลือกให้เอง

เมื่ออุโมงค์ค้าง อาการและวิธีแก้

อุโมงค์เชื่อถือได้ แต่บางครั้งก็เงียบไป ต่อไปนี้คืออาการที่พบบ่อยและลำดับการแก้ที่สมเหตุสมผล

อาการ	สาเหตุที่น่าจะเป็น	สิ่งที่ควรลอง
แอปบอกว่าเชื่อมต่อแล้ว แต่ไม่มีหน้าไหนโหลดหลังเครื่องตื่น	อุโมงค์เก่าค้างระหว่างที่เครื่องหลับ	ตัดการเชื่อมต่อแล้วต่อใหม่
หน้าเล็กใช้ได้ หน้าใหญ่หรือการอัปโหลดค้าง	ปัญหาขนาดแพ็กเก็ต	เปลี่ยนเครือข่าย หรือลดขนาดแพ็กเก็ตถ้าแอปมีให้
ทุกอย่างช้าลงหลังย้ายจาก Wi-Fi ไปเน็ตมือถือ	อุโมงค์กำลังสร้างใหม่	รอสองสามวินาที ถ้ายังเป็นให้เชื่อมต่อใหม่
เชื่อมต่อแล้วแต่บางเว็บแสดงข้อผิดพลาด	เส้นทางหรือ DNS สะดุดบนทางนั้น	เลือกตำแหน่งอื่น
อุโมงค์หลุดซ้ำ ๆ บนเครือข่ายหนึ่ง	เครือข่ายนั้นกรองหรือรีเซ็ตเซสชันที่เงียบ	ใช้เน็ตมือถือในที่นั้น ตรวจตัวเลือก keepalive
ดูเหมือนข้อมูลวิ่งทั้งที่ปิด VPN	อุโมงค์หลุดและไม่มีอะไรบล็อกการรั่ว	เปิด kill switch ถ้าแอปมีให้

แก้ทีละอย่าง เพราะอุโมงค์เรียบง่ายในหลักการ การเชื่อมต่อใหม่ให้สะอาดจึงแก้ปัญหาได้เป็นส่วนใหญ่

สรุปเป็นภาพ ใครเห็นอะไรเมื่อคุณเปิดเว็บหนึ่งหน้า

เพื่อรวมทุกอย่างเข้าด้วยกัน ลองตามหนึ่งคำขอ สมมติคุณเปิดหน้าข่าวบน Wi-Fi สนามบินที่เปิด VPN ไว้ แอปของคุณห่อคำขอลงแกนที่เข้ารหัสและจ่าหน้าถึงเซิร์ฟเวอร์ VPN เราเตอร์สนามบินเห็นพัสดุที่ไปที่ที่อยู่เดียว มันส่งต่อให้โดยไม่รู้เนื้อใน เซิร์ฟเวอร์ VPN รับ ถอดรหัส และส่งคำขอไปยังเว็บข่าวด้วยที่อยู่ของตัวเอง เว็บข่าวตอบกลับ เซิร์ฟเวอร์ห่อคำตอบใหม่ และส่งกลับมา แอปของคุณแกะออก

ในเวลาเพียงเสี้ยววินาทีนี้ มีคนสามกลุ่มที่เห็นข้อมูลคนละส่วน ผู้ดูแลสนามบินเห็นการเชื่อมต่อไปยังเซิร์ฟเวอร์ เว็บข่าวเห็นคำขอจากเซิร์ฟเวอร์ และผู้ดูแลเซิร์ฟเวอร์เห็นทั้งสองด้าน ไม่มีใครเห็นภาพทั้งหมดยกเว้นผู้ดูแลเซิร์ฟเวอร์ ซึ่งเป็นเหตุผลว่าทำไมการเลือกผู้ให้บริการจึงสำคัญไม่แพ้เทคโนโลยีอุโมงค์เอง

สรุป

VPN Tunnel คือวิธีการห่อหุ้ม แพ็กเก็ตแต่ละใบของคุณ ทั้งป้ายและเนื้อใน ถูกห่อไว้ในแพ็กเก็ตใหม่ที่เข้ารหัสและจ่าหน้าถึงเซิร์ฟเวอร์ VPN ซึ่งจะแกะและส่งต่อ อุโมงค์มีอยู่เฉพาะระหว่างอุปกรณ์ของคุณกับเซิร์ฟเวอร์นั้น ผ่านช่วงตั้งต้น keepalive เปลี่ยนกุญแจ และปิดลง และมีต้นทุนเล็กน้อยทั้งในไบต์ การประมวลผล และระยะทาง คนที่สังเกตอยู่ระหว่างทางเห็นได้ว่ามีอุโมงค์และมันคึกคักแค่ไหน แต่ไม่เห็นว่าข้างในคืออะไร และอุโมงค์ไม่ปกป้องสิ่งที่เกิดขึ้นหลังเซิร์ฟเวอร์ ทั้งไม่ตรวจสอบสินค้าข้างใน

หากอยากลองด้วยตัวเองแบบง่าย ๆ หน้าราคา แสดงตัวเลือกแบบเติมเงินที่เชื่อมต่อผ่านแอปฟรี