วิธีตั้งค่า VPN Kill Switch บน Windows

Kill switch คือคำมั่นง่าย ๆ ว่า ถ้าการเชื่อมต่อ VPN หลุด ทราฟฟิกของคุณจะหยุด แทนที่จะไหลต่อไปอย่างเงียบ ๆ ผ่านอินเทอร์เน็ตปกติ บนโทรศัพท์หรือในแอป VPN บางตัวมันเป็นแค่สวิตช์ในการตั้งค่า แต่บน Windows เรื่องนี้ยุ่งกว่า เพราะตัวเชื่อมต่อ VPN ในตัวไม่มีสวิตช์นี้ และคำตอบขึ้นกับว่าคุณใช้ตัวเชื่อมต่อตัวไหนจริง ๆ

คู่มือนี้อธิบายวิธีใช้ VPN Kill Switch บน Windows ในทางปฏิบัติ ครอบคลุมสิ่งที่ตัวเชื่อมต่อในตัวทำเมื่ออุโมงค์ล้มเหลว วิธีมองหา Kill Switch ในแอปของคุณ ตัวเลือกแบบตั้งเองอย่างระมัดระวังด้วยไฟร์วอลล์ของ Windows วิธีทดสอบสิ่งที่คุณตั้ง และช่องว่างที่แม้ Kill Switch ที่ดีก็ยังเหลืออยู่ ถ้าอยากเข้าใจแนวคิดทั่วไปของฟีเจอร์นี้ อ่าน Kill Switch ของ VPN คืออะไร ก่อน บทความนี้คือฉบับเฉพาะ Windows

เมื่อ VPN หลุดบน Windows เกิดอะไรขึ้น

กับตัวเชื่อมต่อ VPN ในตัวของ Windows ไม่มีสวิตช์ Kill Switch เมื่ออุโมงค์ล้มเหลว เช่น Wi-Fi กระตุกหรือโน้ตบุ๊กตื่นจากโหมดสลีป การเชื่อมต่อ VPN จะหายไปเฉย ๆ และการตั้งค่าเครือข่ายกลับสู่ปกติ ตั้งแต่ตอนนั้น แอปของคุณใช้การเชื่อมต่อธรรมดาอีกครั้ง Windows อาจแสดงการแจ้งเตือน แต่ไม่ได้หยุดทราฟฟิกของคุณ

นี่คือลำดับเวลาโดยทั่วไปของคนที่ทำงานอยู่ในร้านกาแฟ

เวลา	เกิดอะไรขึ้น	ผู้ใช้เห็นอะไร
10:00	VPN เชื่อมต่ออยู่ ไฟล์งานซิงก์	ทุกอย่างดูปกติ
10:12	Wi-Fi ร้านหลุดไม่กี่วินาที	อาจเห็นไอคอนหมุนสั้น ๆ
10:12	อุโมงค์หาย Windows เชื่อม Wi-Fi กลับโดยไม่มี VPN	หน้าเว็บโหลดได้อีก จึงไม่รู้สึกว่ามีอะไรผิด
10:12 ถึง 10:20	แอปส่งข้อมูลต่อผ่านเครือข่ายร้านโดยไม่ได้รับการป้องกัน	ไม่มีคำเตือนที่เห็นได้ถ้าพลาดการแจ้งเตือน
10:20	ผู้ใช้สังเกตว่าไอคอน VPN หายไป	เชื่อมต่อใหม่

แปดนาทีนั้นคือช่องว่างที่ Kill Switch ถูกสร้างมาปิด แปดนาทีสำคัญหรือไม่ขึ้นกับว่าแอปของคุณทำอะไรในช่วงนั้น หน้าธนาคารที่ป้องกันด้วย HTTPS ยังได้รับการปกป้องบนสาย แต่เครื่องมือซิงก์ไฟล์ แอปอีเมลที่ไม่เข้ารหัส หรือแอปแชตอาจเปิดเผยมากกว่า บทความVPN ปกป้องอะไรได้บ้างและไม่ได้ใส่เรื่องนี้ไว้ในบริบท

ขั้นที่ 1 มองหา Kill Switch ในแอป VPN ของคุณ

ทางที่ง่ายที่สุดคือสวิตช์สำเร็จรูป แอป VPN บางตัวมี Kill Switch มักอยู่ในการตั้งค่าความปลอดภัยหรือการเชื่อมต่อ ชื่อเรียกต่างกัน เช่น kill switch, network lock, block traffic when disconnected หรือ always-on protection ไม่ใช่ทุกแอปที่มี และแอปฟรีอาจวางไว้ในแผนที่เสียเงิน

1. เปิดแอป VPN แล้วเลื่อนดูการตั้งค่า
2. มองหาคำข้างต้น ถ้าเจอ ให้อ่านคำอธิบายของมัน เพราะบางตัวป้องกันเฉพาะเมื่อหลุดโดยไม่คาดคิด ส่วนบางตัวบล็อกทราฟฟิกจนกว่าคุณจะเชื่อมต่อ
3. เปิดใช้ และอ่านว่ามีผลตอนเริ่มเครื่องหรือไม่
4. ทดสอบด้วยวิธีในบทความนี้ อย่าสันนิษฐานว่ามันใช้งานได้เพียงเพราะเปิดสวิตช์ไว้

ถ้าคุณใช้แอป VPNclient ฟรีที่มาพร้อมบัตรผ่าน XPASS ให้ดูหน้าการตั้งค่าว่ามีตัวเลือกด้านความปลอดภัยหรือการเชื่อมต่อหรือไม่ เราไม่ระบุชื่อเมนูเฉพาะของแอปนี้ เพราะหน้าจอเปลี่ยนได้ระหว่างรุ่น ถ้าหาสวิตช์ไม่เจอ อย่าคิดว่ามีอยู่ ให้ใช้ตัวเลือกแบบตั้งเองด้านล่าง หรือยอมรับว่าการป้องกันมีช่องว่างและคอยดูการเชื่อมต่อเอง หน้าดาวน์โหลดมีลิงก์อย่างเป็นทางการ

ขั้นที่ 2 เลือกกลยุทธ์เมื่อแอปไม่มีสวิตช์

ถ้าไคลเอนต์ของคุณไม่มี Kill Switch คุณมีทางเลือกอยู่หลายทาง แต่ละทางมีข้อแลกเปลี่ยน

แนวทาง	ทำงานอย่างไร	ความพยายาม	ความเสี่ยงหลัก
Kill Switch ในแอป	แอป VPN บล็อกทราฟฟิกเอง	ต่ำ	ไม่ทุกแอปมี และต้องทดสอบ
กฎไฟร์วอลล์แบบตั้งเอง	บล็อกทราฟฟิกขาออก เว้นที่ผ่าน VPN	สูง	ล็อกตัวเองออกได้ง่าย และพังเมื่อการตั้งค่าเปลี่ยน
นิสัยตัดการเชื่อมต่อเมื่อหลุด	คุณสังเกตเห็นแล้วปิด Wi-Fi	ปานกลาง	ต้องพึ่งการที่คุณสังเกตทัน
โปรไฟล์ always-on ที่องค์กรจัดการ	นโยบายของนายจ้างบังคับให้ใช้ผ่าน VPN เท่านั้น	ไอทีจัดการ	ใช้ได้เฉพาะอุปกรณ์ของบริษัท
ใช้แอปที่ละเอียดอ่อนน้อยลง	เก็บงานสำคัญไว้ทำตอนเชื่อมต่ออยู่	ต่ำ	ขึ้นกับวินัย

สำหรับคนส่วนใหญ่ คำตอบที่ดีที่สุดคือเลือกแอปที่มี Kill Switch ดี เปิดใช้ แล้วทดสอบ กฎไฟร์วอลล์แบบตั้งเองเหมาะกับคนที่คุ้นเคยกับการตั้งค่า Windows และอธิบายต่อไปนี้พร้อมข้อจำกัดอย่างตรงไปตรงมา

ขั้นที่ 3 วิธีตั้งเองอย่างระมัดระวังด้วยไฟร์วอลล์ของ Windows

Windows Defender Firewall บล็อกการเชื่อมต่อขาออกได้ หลักการของ Kill Switch แบบตั้งเองง่ายมาก คืออนุญาตทราฟฟิกเฉพาะเมื่อผ่าน VPN และบล็อกที่เหลือทั้งหมด แต่การลงมือยากกว่าหลักการ ดังนั้นอ่านหัวข้อนี้ให้จบก่อนเปลี่ยนอะไร

ก่อนเริ่ม

• สร้างจุดคืนค่า ค้นหา Create a restore point เลือกไดรฟ์ระบบ แล้วเลือก Create
• ให้แน่ใจว่ายกเลิกการเปลี่ยนแปลงได้ ตามที่แสดงท้ายหัวข้อนี้
• อย่าทำบนเครื่องที่นายจ้างหรือโรงเรียนดูแล
• รู้ที่อยู่เซิร์ฟเวอร์ VPN ที่การเชื่อมต่อของคุณใช้ เพราะ VPN ยังต้องติดต่อมันได้

แนวคิดแบบเป็นขั้น

1. เปิด Windows Security > Firewall & network protection > Advanced settings ซึ่งจะเปิด Windows Defender Firewall with Advanced Security
2. สร้าง outbound rule ที่ อนุญาต ให้แอป VPN (หรือส่วนประกอบ VPN ของ Windows) เชื่อมต่อ หากไม่มีกฎนี้ อุโมงค์เองก็สร้างไม่ได้เมื่อบล็อกทราฟฟิกขาออกแล้ว จำกัดกฎไว้ที่ที่อยู่เซิร์ฟเวอร์ VPN ถ้าคุณรู้
3. สร้าง outbound rule ที่ อนุญาต ทราฟฟิกผ่านอะแดปเตอร์ VPN ในแท็บ Advanced ของกฎ คุณจำกัดตามประเภทอินเทอร์เฟซได้ ประเภทที่อะแดปเตอร์ VPN รายงานขึ้นกับไคลเอนต์ และคุณอาจต้องทดสอบว่า Remote access หรือประเภทอื่นครอบคลุมหรือไม่
4. อนุญาตเฉพาะพื้นฐานภายในที่จำเป็นจริง ๆ บนเครือข่ายปกติ เช่น การขอที่อยู่จากเราเตอร์ ข้ามทุกอย่างที่ไม่จำเป็น
5. ตั้งค่าเริ่มต้นขาออกเป็น Block สำหรับโปรไฟล์ที่คุณใช้ (Domain, Private หรือ Public) ใน Windows Defender Firewall Properties
6. เชื่อมต่อ VPN แล้วทดสอบ หน้าเว็บควรโหลดได้ จากนั้นตัดการเชื่อมต่อ VPN หน้าเว็บควรหยุดโหลด

ถ้าหน้าเว็บไม่โหลดแม้ขณะเชื่อมต่ออยู่ แสดงว่าขาดกฎบางข้อหรือประเภทอินเทอร์เฟซผิด ให้เปลี่ยนค่าเริ่มต้นกลับเป็นอนุญาตแล้วปรับ

ข้อจำกัดที่ต้องยอมรับ

• รายการกฎเป็นแบบตายตัว ถ้าที่อยู่เซิร์ฟเวอร์ VPN เปลี่ยนหรือคุณสลับสถานที่ กฎอนุญาตอาจไม่ตรงอีกต่อไป และการเชื่อมต่อจะล้มเหลวจนกว่าคุณจะอัปเดต
• มีผลกับทุกโปรแกรม รวมถึง Windows Update และเครื่องมือลงชื่อเข้าใช้ เมื่อ VPN ไม่ได้เชื่อมต่อ
• ไม่เหมือน Kill Switch ที่ออกแบบมาโดยเฉพาะ ซึ่งเฝ้าดูอุโมงค์และตอบสนองทันที ช่องว่างระหว่างอุโมงค์ล้มกับการบล็อกมีผลนั้นเล็กแต่ไม่รับประกันว่าเป็นศูนย์
• ความผิดพลาดทำให้คุณถูกตัดจากอินเทอร์เน็ต นั่นคือเหตุผลที่ขั้นตอนยกเลิกสำคัญ

วิธียกเลิก

1. เปิด Windows Defender Firewall with Advanced Security เลือก Windows Defender Firewall Properties แล้วตั้ง Outbound connections กลับเป็น Allow (default) ในแต่ละโปรไฟล์
2. ลบหรือปิดกฎที่คุณเพิ่ม
3. ถ้าติดขัด ใช้จุดคืนค่าของระบบที่คุณสร้างไว้

ขั้นที่ 4 ทดสอบ Kill Switch ก่อนไว้ใจ

Kill Switch ที่ไม่ได้ทดสอบคือการเดา ให้ทำการตรวจนี้หนึ่งครั้งหลังตั้งค่า และอีกครั้งหลังอัปเดต Windows หรือแอปครั้งใหญ่

1. เชื่อมต่อ VPN แล้วเปิด command prompt
2. เริ่ม ping ต่อเนื่อง พิมพ์ ping -t 1.1.1.1 แล้วปล่อยให้ทำงาน คุณควรเห็นการตอบกลับ
3. ขัดจังหวะอุโมงค์ ตัดการเชื่อมต่อ VPN จากแอป หรือปิดแล้วเปิด Wi-Fi แล้วแต่กรณีความล้มเหลวที่ต้องการทดสอบ
4. ดูหน้าต่าง ping ถ้า Kill Switch ทำงาน การตอบกลับจะหยุด (คุณจะเห็น request timed out) จนกว่า VPN จะกลับมา ถ้ายังมีการตอบกลับทั้งที่ไม่มี VPN แสดงว่า Kill Switch ไม่ทำงาน
5. เชื่อมต่อใหม่แล้วตรวจที่อยู่สาธารณะ ใช้เครื่องมือตรวจที่อยู่สาธารณะเพื่อยืนยันว่าสิ่งที่อินเทอร์เน็ตเห็นตรงกับที่คุณคาดไว้ขณะเชื่อมต่อ
6. ทำซ้ำหลังสลีป ปิดฝาเครื่อง รอหนึ่งนาที เปิดใหม่ แล้วดูว่าการเชื่อมต่อกลับมาอย่างไร การสลีปและตื่นเป็นจุดอ่อนที่พบบ่อย

บทความวิธีทดสอบ VPNครอบคลุมการรั่วไหล ความเร็ว และ Kill Switch ไปพร้อมกัน ถ้า VPN ของคุณหลุดบ่อย เมื่อ VPN หลุดต้องทำอย่างไรเป็นคู่หูที่ดี

สิ่งที่ Kill Switch ไม่ครอบคลุม

แม้ Kill Switch ที่ทำงานดีก็เป็นเพียงชั้นป้องกันชั้นเดียว ควรชัดเจนว่ามันไม่ครอบคลุมอะไร

• DNS และ IPv6 รั่วไหลขณะเชื่อมต่อ Kill Switch ทำงานเมื่ออุโมงค์หลุด การรั่วไหลระหว่างที่เชื่อมต่ออยู่ดีเป็นอีกเรื่อง ดู DNS leak คืออะไร
• ทราฟฟิกก่อน VPN เชื่อมต่อ ถ้าแอปเริ่มพร้อม Windows ก่อนที่ VPN ขึ้น มันอาจส่งข้อมูลผ่านเครือข่ายปกติในช่วงนั้น เว้นแต่สวิตช์มีผลตอนเริ่มเครื่องด้วย
• อะแดปเตอร์เครือข่ายอื่น การ์ด Wi-Fi ใบที่สอง สาย Ethernet หรือโทรศัพท์ที่ต่อผ่าน USB สร้างเส้นทางอีกเส้นที่กฎง่าย ๆ อาจจัดการไม่ได้
• แอปที่ข้ามอุโมงค์ บางเครื่องมือใช้การตั้งค่าเครือข่ายของตัวเองหรือ split tunneling
• การป้องกันทุกอย่างที่เหลือ Kill Switch ไม่หยุดฟิชชิง มัลแวร์ หรือสิ่งที่คุณพิมพ์ลงในเว็บไซต์

ใครต้องใช้จริง ๆ

ทุกคนไม่ได้ต้องระวังในระดับเดียวกัน โปรไฟล์สั้น ๆ ช่วยได้

• คนทำงานระยะไกลบน Wi-Fi ร้านกาแฟ ที่มีไฟล์ลูกค้าและล็อกอินทำงานเบื้องหลัง ควรเปิด Kill Switch และทดสอบ
• นักท่องเที่ยวที่เช็กอีเมลและแผนที่ในโรงแรม มีประโยชน์ แต่ HTTPS ปกป้องสิ่งที่ทำส่วนใหญ่อยู่แล้ว VPN เพิ่มความสม่ำเสมอ ดูการใช้ VPN บน Wi-Fi โรงแรม
• คอมพิวเตอร์ของครอบครัวที่บ้าน ใช้ท่องเว็บและดูวิดีโอ เป็นส่วนเสริมที่ดีอย่างมากที่สุด อย่าเสี่ยงให้คนทั้งบ้านต่อเน็ตไม่ได้เพราะกฎไฟร์วอลล์ที่ตั้งเอง
• คนที่จัดการข้อมูลละเอียดอ่อน ใช้ Kill Switch พร้อมทดสอบอย่างรอบคอบ และมีแผนชัดเจนเมื่อ VPN ล้มเหลว

ถ้าไม่แน่ใจ ให้เริ่มจากสวิตช์ในแอปและทดสอบมัน ซึ่งครอบคลุมความต้องการจริงส่วนใหญ่แล้ว

ความผิดพลาดที่พบบ่อย

• สันนิษฐานว่าสวิตช์ใช้ได้โดยไม่ทดสอบ ให้รันการทดสอบ ping เสมอ
• บล็อกทุกอย่างแล้วลืมตัว VPN เอง ถ้า VPN ติดต่อเซิร์ฟเวอร์ไม่ได้ ก็เชื่อมต่อไม่ได้
• ใช้กฎกับโปรไฟล์ผิด Windows มีโปรไฟล์ Domain, Private และ Public ตรวจว่าเครือข่ายของคุณใช้โปรไฟล์ไหน
• ทิ้งการตั้งค่าเข้มงวดไว้เมื่อเปลี่ยนเครือข่ายหรือสถานที่ อัปเดตกฎอนุญาตเมื่อการตั้งค่าเปลี่ยน
• ไม่วางแผนรับมือความล้มเหลว รู้วิธียกเลิกกฎก่อนที่จะมีอะไรผิดพลาด
• มองว่าเป็นการป้องกันที่สมบูรณ์ มันปิดช่องว่างหนึ่งจากหลายช่อง

สรุป

VPN ในตัว Windows ไม่มี Kill Switch ดังนั้นคุณมีทางปฏิบัติสามทาง คือหา Kill Switch ในแอป VPN แล้วทดสอบ ตั้งไฟร์วอลล์ที่ระมัดระวังและย้อนกลับได้ถ้ามั่นใจกับ Windows หรือคอยดูการเชื่อมต่อด้วยตัวเอง ไม่ว่าเลือกแบบไหน ให้ทดสอบด้วย ping ต่อเนื่อง ทำซ้ำหลังสลีปและหลังอัปเดต และจำไว้ว่า Kill Switch ครอบคลุมอุโมงค์ที่หลุด ไม่ใช่การรั่วไหลหรือฟิชชิง ถ้าต้องการบัตรผ่านระยะสั้นไว้ใช้กับแอป ดูตัวเลือกได้ที่หน้าราคา