ตั้ง Windows Firewall ให้ทำงานกับ VPN อย่างไร

ไฟร์วอลล์กับ VPN เป็นเครื่องป้องกันสองอย่างที่อยู่ในจุดเดียวกันบนเครื่องของคุณ และอาจขัดกันได้ ไฟร์วอลล์ตัดสินว่าการเชื่อมต่อใดเข้าหรือออกจากคอมพิวเตอร์ได้ ส่วน VPN ห่อทราฟฟิกของคุณไว้ในอุโมงค์เข้ารหัสไปยังเครือข่ายอื่น เมื่อสองอย่างนี้ไม่ลงรอยกัน คุณจะเจออาการ เช่น VPN ที่ไม่ยอมเชื่อมต่อ เครื่องพิมพ์ที่หายไป หรือหน้าต่างเด้งขึ้นทุกครั้งที่เปิดแอป วิธีแก้ที่ล่อใจที่สุดคือปิดไฟร์วอลล์ และก็เป็นวิธีที่แย่ที่สุด บทความนี้อธิบายการตั้ง Firewall กับ VPN Windows ให้ทำงานร่วมกัน เน้นทางเลือกที่ปลอดภัย คือโปรไฟล์เครือข่ายที่ถูกต้อง กฎที่ระมัดระวัง การตั้งค่าการแชร์ และขั้นตอนแก้ปัญหาที่ไม่ต้องปิดการป้องกัน ส่วนความต่างเชิงแนวคิดของเครื่องมือเหล่านี้ อ่านคู่กับVPN, แอนตี้ไวรัส และไฟร์วอลล์ ต่างกันอย่างไรได้

ใครทำหน้าที่อะไรบนเครื่อง Windows

Windows Defender Firewall เป็นไฟร์วอลล์ระดับโฮสต์ มันตรวจทราฟฟิกที่ตัวเครื่องเอง จึงเห็นทั้งการ์ดจริง (Wi-Fi หรือ Ethernet) และการ์ดเสมือนของ VPN ค่าเริ่มต้นคืออนุญาตการเชื่อมต่อขาออก และบล็อกขาเข้าที่ไม่มีใครร้องขอ เว้นแต่มีกฎอนุญาต

ค่าเริ่มต้นนี้เป็นผลดีกับไคลเอนต์ VPN เพราะแอป VPN เปิดการเชื่อมต่อออกไปหาเซิร์ฟเวอร์ จึงมักทำงานได้โดยไม่ต้องมีกฎพิเศษ ปัญหาจะเกิดใน 4 สถานการณ์

• หน้าต่างถามครั้งแรกถูกปิดไป โปรแกรมจึงถูกบล็อกเงียบ ๆ
• มีการใช้ชุดกฎที่เข้มกว่า เช่น จากชุดซอฟต์แวร์ความปลอดภัยหรือนโยบายที่ทำงาน ซึ่งบล็อกขาออกเป็นค่าเริ่มต้น
• การ์ด VPN ถูกจัดเข้าโปรไฟล์เครือข่ายที่ต่างจากที่คุณคิด ซึ่งเปลี่ยนสิ่งที่อนุญาต
• คุณเพิ่มกฎจากเคล็ดลับบนเว็บที่เปิดมากกว่าที่คิด

จำภาพนี้ไว้ ไฟร์วอลล์ควบคุมว่าใครคุยกับเครื่องได้ ส่วน VPN ควบคุมว่าทราฟฟิกไปไหนหลังออกจากเครื่อง สองอย่างนี้เสริมกัน เป้าหมายจึงเป็นทำให้มันสอดคล้องกัน ไม่ใช่เลือกอย่างใดอย่างหนึ่ง

โปรไฟล์เครือข่าย และเหตุผลที่การ์ด VPN สำคัญ

Windows จัดทุกการเชื่อมต่อเครือข่ายเข้าโปรไฟล์ แล้วใช้ชุดกฎต่างกันกับแต่ละโปรไฟล์

โปรไฟล์	ใช้กับ	พฤติกรรมโดยทั่วไป
Domain	เครือข่ายบริษัทที่เข้าร่วมโดเมน	กำหนดโดยนโยบายขององค์กร
Private	เครือข่ายที่บ้านหรือที่ที่ไว้ใจ	อนุญาตการค้นหาและแชร์มากกว่า
Public	ร้านกาแฟ โรงแรม สนามบิน หรือเครือข่ายที่ไม่รู้จัก	บล็อกขาเข้าเกือบทั้งหมด ปิดการค้นหาอุปกรณ์

เมื่อมีการ์ดใหม่ปรากฏ Windows อาจจัดเป็น Public จัดเป็น Private ถ้าคุณกดใช่ในหน้าต่างถาม หรือปล่อยเป็นไม่ระบุ VPN เพิ่มการ์ดเสมือน และประเภทของมันอาจต่างจาก Wi-Fi ของคุณ ซึ่งสำคัญเพราะการแชร์ไฟล์และการค้นหาอุปกรณ์ตามโปรไฟล์

หากต้องการดูว่า Windows มองการเชื่อมต่อของคุณอย่างไร เปิด PowerShell แล้วรัน

Get-NetConnectionProfile

อ่านคอลัมน์ InterfaceAlias และ NetworkCategory ค่าเริ่มต้นที่ปลอดภัยกว่า

• ถือว่า Wi-Fi สาธารณะหรือที่แชร์กับผู้อื่น และการ์ด VPN เป็น Public
• ใช้ Private เฉพาะเครือข่ายที่บ้านหรือที่ทำงานซึ่งคุณไว้ใจและควบคุมได้
• ถ้าการเชื่อมต่อที่ร้านกาแฟถูกตั้งเป็น Private เพราะคุณเคยกดใช่ ให้เปลี่ยนกลับด้วย Set-NetConnectionProfile -InterfaceAlias "Wi-Fi" -NetworkCategory Public

Public เป็นตัวเลือกที่เข้มกว่า ถ้าเครื่องพิมพ์หรือโฟลเดอร์แชร์ในเครือข่ายที่บ้านที่ไว้ใจหยุดทำงาน การเปลี่ยนเครือข่ายนั้นเป็น Private คือวิธีแก้ที่ถูก ไม่ใช่การผ่อนกฎของเครือข่ายสาธารณะ คำแนะนำของ FTC เรื่อง Wi-Fi สาธารณะอธิบายว่าทำไมเครือข่ายที่ไม่รู้จักควรได้รับการปฏิบัติที่เข้มกว่า

หน้าต่างถามครั้งแรก ตอบอย่างตั้งใจ

ครั้งแรกที่โปรแกรมพยายามรับหรือเปิดการเชื่อมต่อบางชนิด Windows จะแสดงหน้าต่างที่มีชื่อประมาณ "Windows Defender Firewall has blocked some features of this app" พร้อมช่องติ๊กสองช่อง มักเป็น Private networks และ Public networks กับปุ่ม Allow access ถ้อยคำอาจต่างกันตามเวอร์ชัน

วิธีตอบสำหรับแอป VPN

1. อ่านชื่อโปรแกรมและพาธ ในหน้าต่าง ตรวจว่าเป็นแอปที่เพิ่งติดตั้งและพาธชี้ไปยังโฟลเดอร์ที่คาดไว้
2. ติ๊กโปรไฟล์ที่ใช้จริง ถ้าคุณใช้ VPN ทั้งที่บ้านและที่ร้านกาแฟ ต้องติ๊กทั้งสองช่อง ถ้าใช้ที่บ้านอย่างเดียว ติ๊กแค่ Private
3. กด Allow access ปุ่ม Cancel ทำให้โปรแกรมถูกบล็อก และ Windows จำการตัดสินใจนั้น
4. ไม่ต้องติ๊ก Domain เว้นแต่คุณอยู่ในเครือข่ายบริษัทที่กำหนดให้ทำ

ถ้าคุณกด Cancel ไปแล้วหรือหน้าต่างไม่เคยปรากฏ

1. เปิด Windows Security > Firewall & network protection > Allow an app through firewall
2. กด Change settings หาแอป VPN ในรายการ แล้วติ๊กโปรไฟล์ที่ต้องใช้
3. ถ้าแอปไม่อยู่ในรายการ เลือก Allow another app เรียกดูไฟล์ .exe ของมันแล้วเพิ่ม
4. เชื่อมต่อ VPN ใหม่

เพิ่มแอปด้วยไฟล์ .exe ของตัวมันเองเสมอ อย่าเพิ่มกฎที่อนุญาต "ทุกโปรแกรม" หรือทั้งโฟลเดอร์ใหญ่อย่าง Program Files ทั้งหมด

ดูว่าไฟร์วอลล์ทำอะไรอยู่จริง ๆ

การเดาเสียเวลาเป็นชั่วโมง Windows แสดงให้ดูได้

1. ดูสถานะของแต่ละโปรไฟล์ รัน Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultInboundAction, DefaultOutboundAction ค่าเริ่มต้นปกติคือขาเข้า Block และขาออก Allow ถ้าขาออกเป็น Block แสดงว่ามีคนเปลี่ยนท่าทีของไฟร์วอลล์ และไคลเอนต์ VPN จะต้องมีกฎ
2. เปิดรายการกฎ กดปุ่ม Windows ร่วมกับ R พิมพ์ wf.msc แล้วกด Enter คอนโซล Windows Defender Firewall with Advanced Security แสดงกฎขาเข้าและขาออก ค้นหาด้วยชื่อโปรแกรม
3. เปิดบันทึกแพ็กเก็ตที่ถูกทิ้ง ใน wf.msc คลิกขวาที่ Windows Defender Firewall with Advanced Security > Properties แท็บโปรไฟล์ > Logging Customize แล้วตั้ง "Log dropped packets" เป็น Yes ตามค่าเริ่มต้นไฟล์ล็อกชื่อ pfirewall.log อยู่ในโฟลเดอร์ LogFiles Firewall ใต้ system32 ของ Windows
4. ทำให้ปัญหาเกิดซ้ำ ลองเชื่อมต่อ VPN หนึ่งครั้ง แล้วเปิดล็อก มองหาบรรทัด DROP ที่มีเวลาตรงกับที่คุณลอง และที่อยู่ของเซิร์ฟเวอร์ VPN บรรทัดนั้นแสดง action, โปรโตคอล, ต้นทาง และปลายทาง
5. แก้เฉพาะสิ่งที่ล็อกชี้ ถ้ามี DROP สำหรับโปรแกรม VPN ของคุณ ให้สร้างหรือแก้กฎของโปรแกรมนั้น ถ้าไม่มี DROP ไฟร์วอลล์น่าจะไม่ใช่ปัญหา

เมื่อใช้เสร็จให้ปิดการบันทึกอีกครั้ง เพราะไฟล์จะโตขึ้นเรื่อย ๆ ผลที่ได้คือหลักฐาน แทนการเดา

กฎที่ปลอดภัยและกฎที่ไม่ปลอดภัย

การเพิ่มกฎคือจุดที่เกิดความเสียหายส่วนใหญ่ เคล็ดลับที่บอกว่า "อนุญาตขาเข้าทุกพอร์ตทั้งหมด" แก้อาการด้วยการถอนการป้องกันออก

ควรทำ	ไม่ควรทำ
อนุญาตโปรแกรมที่ระบุชื่อทีละหนึ่ง ในโปรไฟล์ที่ต้องใช้	อนุญาต "โปรแกรมใดก็ได้" บนพอร์ตใดก็ได้
จำกัดกฎกับที่อยู่ปลายทางเฉพาะเมื่อรู้ที่อยู่	เปิดกฎให้ทุกที่อยู่ "แค่ทดสอบ"
คงขาออกเป็น Allow สำหรับพีซีทั่วไป	ตั้งขาออกเป็น Block โดยไม่มีเวลาสร้างกฎ
ลบกฎของซอฟต์แวร์ที่ถอนไปแล้ว	ทิ้งกฎอนุญาตค้างสำหรับโปรแกรมที่ไม่มีแล้ว
ส่งออกกฎก่อนเปลี่ยนครั้งใหญ่	แก้กฎจากความจำโดยไม่มีสำรอง
ปิด Remote Desktop และการแชร์ไฟล์บน Public	เปิด Remote Desktop (พอร์ต 3389) หรือการแชร์ไฟล์ (พอร์ต 445) ให้ VPN หรืออินเทอร์เน็ตเพื่อความสะดวก

การเข้าถึงขาเข้าผ่าน VPN ต้องระวังเป็นพิเศษ ถ้าคุณอ่านเรื่องการเข้าถึงพีซีที่บ้านจากข้างนอก อย่าลืมว่าการเปิดบริการให้เครือข่ายเพิ่มความเสี่ยงVPN port forwardingอธิบายข้อแลกเปลี่ยนโดยละเอียด โดยทั่วไป เลือกการเข้าถึงน้อยที่สุดที่ทำงานได้ และลบออกเมื่องานจบ

หากต้องการลบกฎที่เหลือค้างจากบรรทัดคำสั่ง ใช้ Remove-NetFirewallRule -DisplayName "ชื่อกฎ" ทำอย่างระวัง เพราะคำสั่งจะลบทุกกฎที่ชื่อตรงกัน

การแชร์และการค้นหาอุปกรณ์บน VPN และ Wi-Fi

ไฟร์วอลล์ไม่ใช่สิ่งเดียวที่เปิดเผยเครื่องของคุณบนเครือข่าย การแชร์ไฟล์และเครื่องพิมพ์และการค้นหาเครือข่ายเป็นการตั้งค่า และเป็นไปตามโปรไฟล์

1. เปิด Settings > Network & internet > Advanced network settings > Advanced sharing settings (Windows 11) หรือเมนูเทียบเท่าใน Network and Sharing Center (Windows 10)
2. สำหรับโปรไฟล์ Public ปิด network discovery และปิด file and printer sharing
3. สำหรับโปรไฟล์ Private เปิดเฉพาะเมื่อจำเป็นต้องใช้ที่บ้าน
4. เปิด password-protected sharing ไว้

เหตุผลที่สำคัญเมื่อใช้ VPN อุโมงค์เปลี่ยนที่อยู่และเส้นทางของคุณ แต่ไม่ได้หยุดอุปกรณ์อื่นบนเครือข่ายเสมือนเดียวกันจากการเข้าถึงโฟลเดอร์แชร์ที่คุณเปิดค้างไว้ การใช้ VPN บนเครือข่ายโรงแรมโดยเปิดการแชร์ไว้เป็นส่วนผสมที่ไม่ดี ปิดประตูก่อน

ถ้าเครื่องพิมพ์หายไปเมื่อ VPN เชื่อมต่อ สาเหตุคือการกำหนดเส้นทาง ไม่ใช่ไฟร์วอลล์ ปัญหาเรื่องเส้นทางอธิบายไว้ในSplit Tunneling คืออะไร อย่าผ่อนกฎไฟร์วอลล์เพื่อแก้ปัญหาเส้นทาง

ซอฟต์แวร์ความปลอดภัยของบริษัทอื่น และปัญหาไฟร์วอลล์ซ้อน

หลายเครื่องใช้ชุดซอฟต์แวร์ความปลอดภัยที่มีไฟร์วอลล์ในตัว เมื่อเป็นเช่นนั้น Windows Defender Firewall อาจถูกปิด หรือตั้งให้ยอมตามผลิตภัณฑ์อื่น ความเสี่ยงไม่ใช่ว่าไฟร์วอลล์สองตัวดีกว่าตัวเดียว แต่เป็นความสับสนว่าตัวไหนคุมอยู่ จนสร้างกฎผิดที่

• หาให้ได้ว่าผลิตภัณฑ์ใดจัดการไฟร์วอลล์ ใน Windows Security เปิด Firewall & network protection จะบอกว่ามีผู้ให้บริการรายอื่นทำงานอยู่หรือไม่
• สร้างกฎอนุญาตของแอป VPN ในผลิตภัณฑ์ที่เป็นผู้คุม กฎใน Windows Firewall ไม่ทำอะไร ถ้ามีไฟร์วอลล์อื่นเป็นผู้ตัดสิน
• บางชุดมีการป้องกันเว็บที่ตรวจทราฟฟิกที่เข้ารหัส ถ้าแอป VPN ไม่เชื่อมต่อเฉพาะตอนฟีเจอร์นั้นเปิด ให้หาข้อยกเว้นของแอปในการตั้งค่าของชุดนั้น แทนการปิดการป้องกันทั้งหมด
• อย่าเปิดไฟร์วอลล์สองตัวพร้อมกัน ถ้าติดตั้งชุดใหม่ ตรวจว่า Windows ยอมตามมันแล้ว และคุณไม่ได้เหลือโดยไม่มีตัวไหนทำงานเลย

หากอาการเป็นข้อผิดพลาดการเชื่อมต่อของ Windows เช่น 809 หรือ 691 คู่มือแก้ข้อผิดพลาด VPN ของ Windows ที่พบบ่อยครอบคลุมรหัสต่าง ๆ และการตรวจตามลำดับ

ขั้นตอนแก้ปัญหาที่ไม่ต้องปิดการป้องกัน

เมื่อ VPN ไม่เชื่อมต่อและคุณสงสัยไฟร์วอลล์ ทำตามลำดับนี้

1. ยืนยันว่าไม่ใช่เรื่องง่ายกว่า ตรวจการเชื่อมต่ออินเทอร์เน็ต ชื่อผู้ใช้และรหัสผ่านใน My Pass และแพ็กเกจยังใช้งานได้ คู่มือVPN เชื่อมต่อไม่ได้ครอบคลุมพื้นฐานเหล่านี้ก่อน
2. ตรวจโปรไฟล์ รัน Get-NetConnectionProfile ยืนยันว่าเครือข่ายเป็นอย่างที่คุณคาด
3. ตรวจกฎของโปรแกรม ใน Allow an app through firewall ยืนยันว่าแอป VPN ถูกติ๊กในโปรไฟล์ที่ใช้อยู่
4. อ่านล็อก เปิดบันทึกแพ็กเก็ตที่ถูกทิ้ง ลองเชื่อมต่อ แล้วอ่านบรรทัด DROP
5. คืนสถานะสะอาดถ้าจำเป็น ถ้ากฎยุ่งเหยิง ให้ส่งออกก่อนด้วย netsh advfirewall export "C:\Temp\firewall-backup.wfw" แล้วรีเซ็ตด้วย netsh advfirewall reset คำสั่งนี้คืนค่าเริ่มต้นของ Windows และลบทุกกฎที่กำหนดเอง คุณอาจต้องเพิ่มกฎของโปรแกรมอื่นใหม่ เครื่องที่ทำงานไม่ควรรีเซ็ตโดยไม่ได้รับอนุมัติจากไอที
6. เพิ่มกลับเฉพาะที่จำเป็น เปิดแอป VPN ตอบหน้าต่างอย่างระมัดระวัง แล้วเชื่อมต่อใหม่
7. ถ้ายังไม่ได้ ให้หยุดแล้วขอความช่วยเหลือ เก็บบรรทัดล็อกไว้และถามฝ่ายสนับสนุน แทนที่จะปิดการป้องกัน

คู่มือของ Microsoft เรื่องการเชื่อมต่อ VPN ใน Windows ควรเก็บไว้ใกล้มือ และหน้าดาวน์โหลดมีลิงก์ตัวติดตั้งอย่างเป็นทางการ หากขั้นต่อไปคือการติดตั้งใหม่ให้สะอาด

สามสถานการณ์ ข้อผิดพลาดที่พบบ่อย และข้อจำกัด

นักศึกษาที่กด Cancel กานต์ติดตั้งแอป VPN แล้วปิดหน้าต่างไฟร์วอลล์ แอปเปิดแต่ไม่เคยเชื่อมต่อ เธอไม่ต้องติดตั้งใหม่ แค่เปิด Allow an app through firewall ติ๊กช่อง Private และ Public ข้างแอป แล้วเชื่อมต่อใหม่

คนทำงานระยะไกลที่ Wi-Fi ร้านกาแฟ แล็ปท็อปของรวิถูกตั้งเครือข่ายร้านกาแฟเป็น Private ตั้งแต่วันก่อน network discovery จึงเปิดอยู่ เขาตั้งการเชื่อมต่อกลับเป็น Public และปิด discovery แล้วจึงเชื่อมต่อ VPN อุปกรณ์อื่นในร้านจึงมองไม่เห็นโฟลเดอร์แชร์ของเขา

พีซีของครอบครัวหลังติดตั้งชุดซอฟต์แวร์ความปลอดภัย ชุดใหม่เข้ามาควบคุมไฟร์วอลล์ แอป VPN เลิกเชื่อมต่อ กฎของ Windows Firewall ไม่มีปัญหา แต่ชุดนั้นเป็นผู้ตัดสิน การเพิ่มข้อยกเว้นในชุดนั้นแก้ได้

ข้อผิดพลาดที่พบบ่อย

• ปิดไฟร์วอลล์เพื่อทดสอบแล้วลืมเปิดกลับ
• ติ๊กทั้งสองโปรไฟล์ให้ทุกโปรแกรมตามความเคยชิน
• อนุญาตทั้งโฟลเดอร์แทนที่จะเป็นโปรแกรมเดียว
• เปิด Remote Desktop ค้างไว้บนการ์ด VPN
• คัดลอกสคริปต์จากฟอรัมที่ตัวเองไม่เข้าใจ
• รีเซ็ตเครื่องทำงานที่บริษัทดูแลโดยไม่บอกไอที

ข้อจำกัด ไฟร์วอลล์มองไม่เห็นเนื้อหาในทราฟฟิกที่เข้ารหัส VPN ไม่ได้มาแทนที่มัน และไม่มีอย่างใดหยุดฟิชชิง รหัสผ่านอ่อน หรือมัลแวร์ที่คุณรันเอง กฎไฟร์วอลล์ที่อธิบายที่นี่ยังขึ้นกับบิลด์ของ Windows ถ้อยคำและชื่อเมนูอาจต่างกัน คู่มือ VPN ของ NIST เป็นเอกสารเชิงลึกกว่าหากคุณดูแลเรื่องนี้ให้ทีม

สรุป

สำหรับ Firewall กับ VPN Windows ให้เปิด Windows Defender Firewall ไว้ ถือว่าเครือข่ายที่แชร์และ VPN เป็น Public ตอบหน้าต่างครั้งแรกอย่างตั้งใจ และอนุญาตแอป VPN ด้วยไฟล์ .exe ของมันเองเท่านั้น ตรวจสถานะและล็อกแพ็กเก็ตที่ถูกทิ้งก่อนเปลี่ยนอะไร หลีกเลี่ยงกฎกว้าง ๆ ปิดการแชร์บนเครือข่ายสาธารณะ ให้แน่ใจว่ามีไฟร์วอลล์ตัวเดียวเป็นผู้คุม และใช้การส่งออกกับการรีเซ็ตเป็นทางสุดท้าย แทนการปิดการป้องกัน

หากแพ็กเกจแบบเติมเงินเหมาะกับวิธีที่คุณทำงาน ดูว่ามีอะไรบ้างได้ที่หน้าราคา