วิธีตั้ง Split Tunneling บน Windows

Windows ส่งทราฟฟิกบางส่วนผ่าน VPN และปล่อยที่เหลือออกอินเทอร์เน็ตโดยตรงได้หลายวิธี และวิธีที่เหมาะขึ้นอยู่กับว่าคุณติดตั้ง VPN แบบไหน บทความนี้พูดถึง Split Tunneling Windows ในมุมลงมือทำ ตั้งแต่การตัดสินใจว่าอะไรควรอยู่นอกอุโมงค์ เลือกวิธีที่เข้ากับเครื่องของคุณ ไปจนถึงการทดสอบว่าการแยกเส้นทางเกิดขึ้นจริง ไม่ใช่แค่ตั้งค่าไว้แล้วหวังว่าจะใช้ได้ หากอยากอ่านแนวคิดพื้นฐานก่อน ลองดูSplit Tunneling คืออะไร แล้วค่อยกลับมาที่นี่

บทความนี้เจาะจงที่เครื่อง Windows 10 หรือ Windows 11 เครื่องเดียว ชื่อเมนูอาจต่างกันเล็กน้อยตามเวอร์ชัน ให้ใช้เส้นทางในบทความเป็นแนวทาง และถ้าหาเมนูไม่เจอ ให้พิมพ์ค้นหาในช่องค้นหาของ Settings

ตัดสินใจก่อนว่าอะไรควรอยู่นอกอุโมงค์

ความผิดพลาดที่พบบ่อยที่สุดของ Split Tunneling ไม่ใช่เรื่องเทคนิค แต่เป็นการเปิดฟีเจอร์แล้วติ๊กแอปมั่ว ๆ จนสุดท้ายตอบไม่ได้ว่าทราฟฟิกไหนได้รับการปกป้อง ให้ใช้เวลาห้านาทีทำรายการก่อน

ถามตัวเองด้วยคำถามเดียวกับทุกแอปหรืออุปกรณ์ว่า "ถ้าเครื่องส่งข้อมูลนี้ผ่านเครือข่ายที่ฉันใช้อยู่ตอนนี้โดยไม่มีอุโมงค์ ฉันรับได้ไหม" ถ้ารับได้ แอปนั้นเป็นตัวเลือกที่จะยกเว้น ถ้ารับไม่ได้ ให้ปล่อยไว้ในอุโมงค์

ทราฟฟิก	ควรยกเว้นไหม	เหตุผล
เครื่องพิมพ์หรือสแกนเนอร์ในบ้าน	มักควร	อยู่ในเครือข่ายภายใน และมักใช้ไม่ได้เมื่อถูกดันเข้าอุโมงค์
NAS, มีเดียเซิร์ฟเวอร์, ฮับสมาร์ตโฮม	มักควร	เหตุผลเดียวกัน ที่อยู่ภายในต้องอยู่ภายใน
แอปธนาคารที่ไม่ยอมให้ใช้กับ VPN	บางกรณี	เฉพาะบนเครือข่ายที่ไว้ใจ เช่น เราเตอร์ที่บ้าน
เกมออนไลน์หรือแชตเสียงที่หน่วงมาก	บางกรณี	เส้นทางตรงอาจลดความหน่วง แต่แอปนั้นจะไม่ได้รับการปกป้องจากอุโมงค์
เครื่องมือทำงานที่ต้องเข้าผ่าน VPN ของบริษัท	ไม่ควร	นี่คือเหตุผลที่ต้องมีอุโมงค์
เบราว์เซอร์บน Wi-Fi โรงแรมหรือร้านกาแฟ	ไม่ควร	เป็นทราฟฟิกที่อุโมงค์ปกป้องได้มากที่สุด
อัปเดตซอฟต์แวร์และดาวน์โหลดไฟล์ใหญ่	บางกรณี	ช่วยประหยัดแบนด์วิดท์อุโมงค์ แต่เครือข่ายในพื้นที่จะเห็นแหล่งที่ดาวน์โหลด

เขียนตารางของตัวเองลงกระดาษสองคอลัมน์ "ในอุโมงค์" กับ "นอกอุโมงค์" ก็พอ อะไรที่ตัดสินใจไม่ได้ ให้ใส่ไว้ในอุโมงค์ เพราะค่าเริ่มต้นที่ปลอดภัยคือส่งทุกอย่างผ่านอุโมงค์

เบื้องหลังบนเครื่อง Windows เกิดอะไรขึ้น

Windows เก็บตารางเส้นทาง (routing table) ซึ่งเป็นรายการกฎว่า "ทราฟฟิกไปปลายทางนี้ให้ออกทางการ์ดเครือข่ายใด" เมื่อ VPN เชื่อมต่อ มันจะเพิ่มการ์ดเสมือนหนึ่งตัว แล้วทั้งแทนที่เส้นทางเริ่มต้นเพื่อให้ทุกอย่างเข้าอุโมงค์ หรือเพิ่มกฎแคบ ๆ ให้เฉพาะบางปลายทางเข้าอุโมงค์

Split Tunneling จึงเป็นเพียงชุดกฎอีกแบบหนึ่ง มีสองรูปแบบ

• โหมดยกเว้น (exclude) ทุกอย่างผ่านอุโมงค์ ยกเว้นแอปหรือที่อยู่ที่คุณระบุ เหมาะกับเครื่องที่บ้านซึ่งมีอุปกรณ์ไม่กี่ตัวต้องอยู่ในเครือข่ายภายใน
• โหมดรวม (include) ไม่มีอะไรผ่านอุโมงค์ ยกเว้นแอปหรือที่อยู่ที่คุณระบุ เหมาะกับโน้ตบุ๊กทำงานที่ต้องการอุโมงค์เฉพาะเครือข่ายออฟฟิศ ส่วนที่เหลือออกตรง

แอป VPN สำหรับผู้ใช้ทั่วไปที่มีฟีเจอร์นี้มักทำงานแบบแยกตามแอป ซึ่งเข้าใจง่าย ส่วนโปรไฟล์ VPN ของ Windows เองทำงานแบบแยกตามเครือข่ายปลายทาง ซึ่งแม่นยำกว่าแต่ต้องรู้ที่อยู่ วิธีทั้งสามด้านล่างแบ่งตามนี้

วิธีที่ 1 ใช้ตัวเลือก Split Tunneling ในแอป VPN

นี่คือวิธีที่ง่ายที่สุดและควรลองก่อน เปิดแอป VPN ของคุณ แล้วหาในหน้าตั้งค่าว่ามีหัวข้อทำนอง split tunneling, app exclusions หรือรายการข้าม (bypass list) หรือไม่ และดูว่ามีโหมดใดให้เลือก

1. ตัดการเชื่อมต่อ VPN ก่อน เพื่อเริ่มทดสอบจากสถานะที่ชัดเจน
2. เปิดหน้าตั้งค่าของแอป หาส่วน split tunneling หรือการตั้งค่าตามแอป ชื่อเรียกต่างกันไปตามแอปและเวอร์ชัน
3. เลือกโหมด สำหรับเครื่องที่บ้าน โหมดยกเว้นมักเป็นจุดเริ่มต้นที่ดี
4. เพิ่มแอปโดยเลือกไฟล์ที่รันได้ (.exe) ซึ่งปกติอยู่ใน C:\Program Files หรือ C:\Program Files (x86) เบราว์เซอร์และตัวเปิดเกมมักมีโปรแกรมช่วยทำงานแยกอีกหลายตัว ให้ยกเว้นโปรแกรมหลักก่อนแล้วทดสอบ
5. บันทึก เชื่อมต่อใหม่ แล้วทำการทดสอบในหัวข้อตรวจสอบด้านล่าง

ถ้าแอปของคุณไม่มีตัวเลือกนี้ ไม่ได้แปลว่าคุณทำอะไรผิด แอปจำนวนมากตั้งใจให้มีโหมด full tunnel โหมดเดียว สำหรับแอป VPNclient ที่ลูกค้า XPASS ใช้ รายละเอียดในหน้าร้านแอปไม่ได้ระบุหน้าจอ split tunneling ไว้ ดังนั้นให้ดูว่าแอปในเครื่องของคุณแสดงอะไร อย่าอ้างอิงตามบทความนี้อย่างเดียว ถ้าไม่มีให้เลือกทำอย่างใดอย่างหนึ่ง คือเปิด VPN ไว้กับทุกอย่าง หรือตัดการเชื่อมต่อชั่วคราวสำหรับแอปเดียวที่มีปัญหา หรือใช้วิธีที่ 2 เมื่อคุณมีโปรไฟล์ VPN ใน Windows ดูภาพรวมของแพ็กเกจได้ที่หน้าดาวน์โหลดและหน้าราคา

วิธีที่ 2 แยกเส้นทางของโปรไฟล์ VPN ใน Windows ด้วยการตั้งค่าหรือ PowerShell

วิธีนี้ใช้ได้เฉพาะเมื่อการเชื่อมต่อเป็นโปรไฟล์ VPN ที่เก็บอยู่ใน Windows เอง ซึ่งมองเห็นได้ที่ Settings > Network & internet > VPN แอปที่ติดตั้งการ์ดเสมือนของตัวเองจะจัดการเส้นทางเอง การแก้โปรไฟล์ใน Windows จึงไม่มีผลกับแอปเหล่านั้น

ใช้หน้าต่างการ์ดเครือข่ายแบบคลาสสิก

1. กดปุ่ม Windows พิมพ์ "View network connections" แล้วเปิดผลลัพธ์
2. คลิกขวาที่การ์ด VPN แล้วเลือก Properties
3. ในแท็บ Networking เลือก Internet Protocol Version 4 (TCP/IPv4) แล้วกด Properties ต่อด้วย Advanced
4. ในแท็บ IP Settings เอาติ๊กออกจาก "Use default gateway on remote network"
5. กด OK ทุกหน้าต่าง แล้วเชื่อมต่อใหม่

เมื่อเอาติ๊กออก Windows จะไม่ส่งทุกอย่างเข้าอุโมงค์อีก แต่ข้อควรระวังคือจะมีเฉพาะเครือข่ายที่ VPN ประกาศเป็นค่าเริ่มต้น (มักเป็นเครือข่ายย่อยของตัวมันเอง) เท่านั้นที่ใช้อุโมงค์ หากต้องการเพิ่มปลายทางเฉพาะ ให้ใช้ PowerShell

ใช้ PowerShell

เปิด PowerShell แล้วรันตามลำดับ แทนชื่อด้วยชื่อโปรไฟล์ของคุณตามที่แสดงใน Settings ให้ตรงทุกตัวอักษร

Get-VpnConnection
Set-VpnConnection -Name "Office" -SplitTunneling $True
Add-VpnConnectionRoute -ConnectionName "Office" -DestinationPrefix 10.20.0.0/16

คำสั่งแรกแสดงรายชื่อโปรไฟล์ เพื่อให้คัดลอกชื่อได้ถูก คำสั่งที่สองเปิด split tunneling คำสั่งที่สามเพิ่มปลายทางที่ต้องผ่านอุโมงค์ เขียนในรูป CIDR ช่วงที่อยู่ส่วนตัวอย่าง 10.x.x.x และ 192.168.x.x มีอธิบายใน RFC 1918 ซึ่งน่าอ่านถ้าคุณยังไม่คุ้นกับสัญกรณ์นี้ หากต้องการลบเส้นทาง ใช้ Remove-VpnConnectionRoute กับพารามิเตอร์ชุดเดียวกัน หน้าช่วยเหลือของ Microsoft เรื่องการเชื่อมต่อ VPN ใน Windows อธิบายวิธีสร้างโปรไฟล์และตำแหน่งที่โปรไฟล์ปรากฏ

นี่คือโหมดรวมในทางปฏิบัติ VPN พาเฉพาะเครือข่ายที่คุณระบุ ที่เหลือออกตรง ถ้าต้องการแบบกลับกัน คือ full tunnel พร้อมข้อยกเว้น ให้ใช้วิธีที่ 1 หรือวิธีที่ 3

วิธีที่ 3 อ่านและปรับตารางเส้นทางด้วยตัวเอง

ใช้วิธีนี้เมื่อคุณเข้าใจสิ่งที่กำลังเปลี่ยนจริง ๆ เท่านั้น เพราะเส้นทางที่ผิดอาจทำให้ออกอินเทอร์เน็ตไม่ได้ แต่ก็เป็นวิธีที่ดีที่สุดในการดูว่าวิธีอื่นทำอะไรไปจริง ๆ

1. เปิด Command Prompt แล้วรัน route print ดูตาราง IPv4 Route Table บรรทัดที่ปลายทางเป็น 0.0.0.0 และ netmask เป็น 0.0.0.0 คือเส้นทางเริ่มต้น
2. จดที่อยู่อินเทอร์เฟซและค่า metric ค่า metric ต่ำกว่าจะถูกเลือกก่อนเมื่อกฎตรงกันเท่ากัน
3. เชื่อมต่อ VPN แล้วรัน route print อีกครั้ง ถ้าเส้นทางเริ่มต้นชี้ไปที่การ์ด VPN ด้วย metric ที่ต่ำกว่า แสดงว่าเป็น full tunnel
4. หากต้องการให้ที่อยู่ภายในหนึ่งตัวออกตรง ให้เพิ่มเส้นทางที่เฉพาะเจาะจงกว่าผ่านเกตเวย์ปกติ เช่น route add 192.168.1.50 mask 255.255.255.255 192.168.1.1 ให้แทนด้วยที่อยู่เครื่องพิมพ์และเราเตอร์ของคุณเอง
5. เมื่อรีบูตหรือตัดการเชื่อมต่อ เส้นทางจะหายไป เพราะเพิ่มโดยไม่ใช้ตัวเลือก -p ซึ่งเป็นตัวช่วยด้านความปลอดภัยในช่วงที่คุณกำลังทดลอง

เส้นทางที่เฉพาะเจาะจงกว่าจะชนะเส้นทางเริ่มต้นเสมอ นั่นคือเหตุผลที่กฎที่อยู่เดียวสำหรับเครื่องพิมพ์ใช้ได้แม้ในอุโมงค์เต็ม อย่าเพิ่มเส้นทางที่คุณอธิบายไม่ได้ และอย่าใช้ตัวเลือกถาวรจนกว่าเส้นทางจะทำงานดีมาหลายวัน

พิสูจน์ว่าการแยกเส้นทางเกิดขึ้นจริง

การตั้งค่าที่ยังไม่ได้ทดสอบเป็นแค่การเดา ให้ทำการตรวจสั้น ๆ นี้ทุกครั้งที่เปลี่ยนค่า และทำซ้ำหลังรีสตาร์ตครั้งแรก

1. เทียบ IP สาธารณะ ในเบราว์เซอร์ที่ผ่านอุโมงค์ ให้ค้นดู IP สาธารณะของคุณ แล้วทำเช่นเดียวกันจากแอปที่ยกเว้นหรือโปรไฟล์เบราว์เซอร์ที่ยกเว้น ทั้งสองค่าควรต่างกัน ถ้าตรงกัน แสดงว่าแอปยังอยู่ในอุโมงค์ หรือ VPN ไม่ได้เชื่อมต่อ
2. ตามรอยปลายทางหนึ่งแห่ง รัน tracert 8.8.8.8 สำหรับปลายทางที่อยู่ในอุโมงค์ และรัน tracert ไปยังที่อยู่เครื่องพิมพ์สำหรับปลายทางที่ยกเว้น hop แรกของอย่างแรกควรเป็นเกตเวย์ VPN ส่วนอย่างหลังควรเป็นเราเตอร์ที่บ้านของคุณ
3. ดู DNS Split Tunneling อาจทำให้การค้นหาชื่อโดเมนไปที่ตัวแปลงชื่อผิดตัว อ่านDNS leak คืออะไร แล้วทดสอบขณะเปิด VPN ว่าการค้นหาของทราฟฟิกที่ควรได้รับการปกป้องไม่ไปโผล่ที่ผู้ให้บริการอินเทอร์เน็ตของคุณ
4. รีสตาร์ตแล้วทำซ้ำ ไดรเวอร์และกฎตามแอปบางอย่างมีผลสมบูรณ์หลังรีสตาร์ตเท่านั้น ถ้าผลต่างกัน ให้เชื่อผลหลังรีบูต

หากผลไม่เป็นไปตามคาด ให้เปลี่ยนทีละอย่าง การแก้สองจุดพร้อมกันทำให้บอกไม่ได้ว่าจุดไหนแก้หรือทำพัง

สามสถานการณ์จริง

ออฟฟิศที่บ้านกับเครื่องพิมพ์ในเครือข่าย พริมาทำงานที่เครื่องตั้งโต๊ะและเปิด VPN ทั้งวันสำหรับเครื่องมือบริษัทและการท่องเว็บ ทุกครั้งที่เชื่อมต่อ เครื่องพิมพ์เลเซอร์จะหายไปจากรายการเครื่องพิมพ์ เธอยกเว้นเครือข่ายภายในด้วยตัวเลือกเครือข่ายภายในของแอป หรือเพิ่มเส้นทางที่อยู่เดียวแบบวิธีที่ 3 เครื่องพิมพ์กลับมา และเบราว์เซอร์ยังอยู่ในอุโมงค์เหมือนเดิม

นักศึกษาที่ต้องใช้พอร์ทัลมหาวิทยาลัยและอยากปลอดภัยที่ร้านกาแฟ สมชายเรียนที่ร้านกาแฟและอยากเปิด VPN ระหว่างท่องเว็บ พอร์ทัลมหาวิทยาลัยขอการยืนยันเพิ่มเมื่อเห็นว่าใช้อุโมงค์ เขาไม่ได้ปิด VPN ทั้งวัน แต่ยกเว้นเฉพาะโปรไฟล์เบราว์เซอร์ที่ใช้เข้าพอร์ทัล ทดสอบที่บ้านก่อน แล้วปล่อยที่เหลือไว้ในอุโมงค์ ถ้าแอปของเขาไม่มียกเว้นตามแอป เขาจะตัดการเชื่อมต่อเพื่อล็อกอินพอร์ทัล แล้วเชื่อมต่อกลับทันที

คนทำงานระยะไกลที่ต้องการแค่เครือข่ายออฟฟิศ หลินมีโปรไฟล์ VPN ของบริษัทใน Windows ฝ่ายไอทีให้ช่วงเครือข่ายของออฟฟิศมา เธอเปิด split tunneling ในโปรไฟล์ แล้วเพิ่มช่วงของออฟฟิศด้วย Add-VpnConnectionRoute วิดีโอคอลและเพลงออกตรง ส่วนไฟล์เซิร์ฟเวอร์ผ่านอุโมงค์ ทั้งนี้บริษัทเป็นผู้กำหนดว่าทำได้หรือไม่ เธอจึงตรวจนโยบายก่อน คู่มือความปลอดภัยการทำงานระยะไกลของ NIST ก็อภิปรายว่าองค์กรเลือก full หรือ split tunnel ด้วยเหตุผลแบบนี้

ข้อผิดพลาดที่พบบ่อยและวิธีแก้เร็ว

• ยกเว้นไฟล์ที่รันได้ผิดตัว ยกเว้นตัวเปิดโปรแกรม แต่ตัวที่เชื่อมต่อจริงเป็นอีกไฟล์ ให้เปิดแท็บ Details ใน Task Manager เพื่อดูชื่อโปรเซสที่ต่อเน็ตจริง
• ลืมโปรแกรมช่วย เบราว์เซอร์ใช้โปรเซสแยกสำหรับเครือข่าย ถ้าเบราว์เซอร์ที่ยกเว้นยังโชว์ที่อยู่ของอุโมงค์ ให้ยกเว้นตัวช่วยด้วย หรือทดสอบกับเบราว์เซอร์อื่น
• ปล่อยแอปไว้นอกอุโมงค์บน Wi-Fi สาธารณะ เหตุผลที่ยกเว้นแอปธนาคารที่บ้านไม่ได้ใช้ที่สนามบิน ให้เอาการยกเว้นออก หรือใช้เน็ตมือถือสำหรับงานนั้น
• ผสมหลายวิธี ใช้การยกเว้นตามแอปพร้อมกับเส้นทางในโปรไฟล์ Windows ทำให้อ่านผลยาก ให้เลือกวิธีเดียว
• พิมพ์เส้นทางด้วย mask ผิด mask 255.255.255.0 ครอบคลุม 254 ที่อยู่ ไม่ใช่หนึ่งที่อยู่ ตรวจให้แน่ใจว่าตั้งใจแบบนั้น
• ไม่เคยทดสอบหลังรีบูต เส้นทางที่เพิ่มโดยไม่ใช้แฟล็กถาวรจะหายเมื่อรีสตาร์ต ทำให้เหมือนว่า VPN "ลืม" ค่าที่ตั้ง
• โทษ VPN ทั้งที่เป็นหน้าต่างของไฟร์วอลล์ ถ้า Windows ถามว่าจะอนุญาตโปรแกรมบนเครือข่ายส่วนตัวหรือสาธารณะ ให้ตอบ คู่มือVPN เชื่อมต่อไม่ได้อธิบายหน้าต่างที่ขวางอุโมงค์เอง

ข้อจำกัดและสิ่งที่ควรระวัง

Split Tunneling เป็นการแลกการปกป้องกับความสะดวก อะไรที่ยกเว้นไว้ย่อมได้รับการปกป้องไม่ต่างจากตอนปิด VPN รวมถึงปลายทางที่มันติดต่อและสิ่งที่ผู้ดูแลเครือข่ายมองเห็น แอปที่ยกเว้นอาจเปิดเผย IP จริงของคุณให้บริการปลายทางรู้ ซึ่งสำคัญถ้าคุณเลือกใช้ VPN เพื่อไม่ให้ที่อยู่นั้นถูกเห็น

นอกจากนี้ มันไม่ใช่ทางแก้ทั่วไปของอินเทอร์เน็ตช้า ถ้าทุกอย่างช้า ให้อ่านทำไม VPN ช้าก่อนสรุปว่าอุโมงค์เป็นสาเหตุ รายการตามแอปอาจเพี้ยนเมื่อโปรแกรมอัปเดตแล้วย้ายตำแหน่งไฟล์ จึงควรทบทวนรายการเป็นระยะ และโน้ตบุ๊กที่บริษัทออกให้อาจถูกล็อกด้วยนโยบาย การเปลี่ยนเส้นทาง VPN อาจฝ่าฝืนกฎขององค์กรแม้ Windows จะยอมให้ทำ

สุดท้าย อย่าใช้การยกเว้นเพื่อเลี่ยงกฎของบริการใด ๆ ถ้าแอปไม่ยอมให้ใช้กับ VPN ทางที่ถูกคือใช้แอปนั้นโดยไม่เปิดอุโมงค์บนเครือข่ายที่ไว้ใจได้ ไม่ใช่หาวิธีหลบ

สรุป

สำหรับ Split Tunneling Windows ให้เริ่มจากรายการที่เขียนไว้ว่าอะไรอยู่ในอุโมงค์และอะไรอยู่นอก เลือกวิธีที่เครื่องของคุณรองรับ (ตัวเลือกในแอป โปรไฟล์ VPN ของ Windows ร่วมกับ PowerShell หรือการปรับตารางเส้นทางอย่างระมัดระวัง) แล้วยืนยันผลด้วยการเทียบ IP สาธารณะ การตามรอยเส้นทาง และการตรวจ DNS รวมถึงทดสอบซ้ำหลังรีบูต เก็บทราฟฟิกสำคัญไว้ในอุโมงค์ ยกเว้นให้น้อยที่สุด และทบทวนเมื่อเปลี่ยนเครือข่าย

หากต้องการแพ็กเกจที่พอดีกับทริปหรือโปรเจกต์ ดูหน้าราคาได้ตามสะดวก