WireGuard Roaming เปลี่ยนเครือข่ายอย่างไร

ใครใช้ VPN บนมือถือย่อมรู้จักช่วงเวลานี้ คุณเดินออกจากร้านกาแฟ มือถือหลุดจาก Wi-Fi แล้วไปจับเน็ตมือถือ แล้วก็ได้แต่หวังว่าอุโมงค์จะรอด กับบางโปรโตคอล การเชื่อมต่อพังไปเลย ต้องรอให้แอปเชื่อมต่อใหม่ แต่ WireGuard ถูกออกแบบให้การย้ายแบบนี้เป็นเรื่องปกติ พฤติกรรม roaming ของมันทำให้อุโมงค์ไปต่อได้เมื่ออุปกรณ์เปลี่ยนที่อยู่ มักไม่มีการสะดุดที่มองเห็นได้

บทความนี้อธิบายว่า WireGuard roaming ทำอะไรในระดับแพ็กเก็ต ทำไมจึงใช้ได้ ส่วนไหนขึ้นกับคุณหรือแอป VPN และอะไรยังผิดพลาดได้ เป็นเนื้อหาเชิงความรู้เกี่ยวกับโปรโตคอล ไม่ใช่คู่มือตั้งค่า และไม่ได้อ้างว่าผู้ให้บริการรายใดมีโปรโตคอลใด หากอยากดูการเทียบกับของเก่าในภาพกว้าง อ่าน WireGuard เทียบ OpenVPN

ปัญหาที่ roaming แก้

ทุกการเชื่อมต่ออินเทอร์เน็ตอธิบายด้วยที่อยู่และพอร์ต เซสชัน VPN แบบดั้งเดิมมักผูกกับคู่ที่อยู่ที่สร้างมัน เมื่อมือถือเปลี่ยนเครือข่าย ที่อยู่สาธารณะก็เปลี่ยนด้วย เซสชันเก่าจึงไม่ตรงกับสิ่งที่เซิร์ฟเวอร์จำได้ เซิร์ฟเวอร์ทิ้งแพ็กเก็ต ไคลเอนต์รอจนหมดเวลา แล้วต้องเจรจาใหม่ตั้งแต่ต้น

การย้ายระหว่างเครือข่ายเป็นเรื่องธรรมดา

• คนเดินทางไปทำงานสลับจาก Wi-Fi ที่บ้านเป็นเน็ตมือถือระหว่างทางไปสถานี
• ผู้ใช้แล็ปท็อปพับจอที่ออฟฟิศแล้วเปิดที่ร้านกาแฟ
• มือถือของนักท่องเที่ยวกระโดดระหว่างโรงแรม สนามบิน และเครือข่ายมือถือในบ่ายเดียว
• อินเทอร์เน็ตบ้านรับที่อยู่ใหม่หลังรีสตาร์ตเราเตอร์

ถ้าอุโมงค์ต้องเชื่อมต่อใหม่ให้เห็นทุกครั้ง VPN ก็กลายเป็นความรำคาญและคนจะปิดมัน roaming คือคำตอบเชิงการออกแบบต่อเรื่องนี้

WireGuard roaming ทำงานอย่างไร

WireGuard ไม่ผูกเซสชันกับที่อยู่ แต่ละอุปกรณ์ถูกระบุด้วยกุญแจสาธารณะ และการตั้งค่าบอกว่ากุญแจนั้นใช้ที่อยู่ภายในช่วงใดได้ ส่วน IP ภายนอกและพอร์ต UDP ของอุปกรณ์ เรียกว่า endpoint ถือเป็นเพียงคำใบ้ที่เปลี่ยนได้

กฎสั้นมาก

1. อุปกรณ์ส่งแพ็กเก็ตเข้ารหัสไปยัง endpoint ล่าสุดที่รู้ของอีกฝั่ง
2. เมื่อแพ็กเก็ตมาถึง ผู้รับตรวจว่าแท้หรือไม่ด้วยกุญแจเซสชัน
3. ถ้าแพ็กเก็ตถูกต้องและที่อยู่ต้นทางต่างจาก endpoint ที่เก็บไว้ ผู้รับอัปเดต endpoint เป็นต้นทางใหม่
4. คำตอบถัดไปไปที่ที่อยู่ใหม่

เท่านี้เอง ไม่มีข้อความ roaming แยกและไม่มีการเจรจา แพ็กเก็ตจริงชิ้นแรกจากเครือข่ายใหม่สอนอีกฝั่งว่าคุณอยู่ที่ไหน เอกสารไวต์เปเปอร์ในแหล่งอ้างอิงอธิบายพฤติกรรมนี้และการออกแบบการเข้ารหัสเบื้องหลัง

ทำไมจึงปลอดภัย

ผู้โจมตีที่คัดลอกแพ็กเก็ตของคุณแล้วเล่นซ้ำจากที่อยู่อื่นจะไม่ได้ควบคุมอุโมงค์ แพ็กเก็ตนั้นจะไม่ผ่านการยืนยัน หรือเป็นของซ้ำที่การป้องกันการเล่นซ้ำของโปรโตคอลทิ้ง endpoint เปลี่ยนเฉพาะกับแพ็กเก็ตที่พิสูจน์ได้ว่ารู้กุญแจเซสชัน ซึ่งมีแต่สองฝั่งจริงเท่านั้นที่ถือ

ฝั่งไหนย้ายได้

roaming ทำงานดีที่สุดเมื่อฝั่งหนึ่งมีที่อยู่คงที่ติดต่อได้ และอีกฝั่งเคลื่อนที่ ซึ่งเป็นรูปทรงปกติของ VPN คือเกตเวย์อยู่กับที่ ส่วนมือถือหรือแล็ปท็อปเดินทาง

สถานการณ์	ใช้ได้ไหม	เหตุผล
มือถือย้ายเครือข่าย เกตเวย์ที่อยู่คงที่	ได้	มือถือส่งแพ็กเก็ต เกตเวย์เรียนรู้ endpoint ใหม่
เกตเวย์ที่อยู่เดิม แต่มือถืออยู่หลัง NAT	ได้ หากมี keepalive	แพ็กเก็ตขาออกของมือถือทำให้ NAT mapping เปิดอยู่
เกตเวย์เปลี่ยนที่อยู่ มือถือไม่เปลี่ยน	ขึ้นกับกรณี	มือถือส่งไปที่อยู่เก่าต่อ จนกว่าจะแปลงชื่อใหม่
สองฝั่งเปลี่ยนที่อยู่พร้อมกัน	มักไม่ได้	ไม่มีใครรู้ว่าจะส่งแพ็กเก็ตแรกไปที่ไหน
สองเครื่องหลัง NAT แยกกัน ไม่มีรีเลย์	ต้องมีตัวช่วย	ไม่มีฝั่งใดถูกติดต่อก่อนได้ ดูด้านล่าง

สองแถวสุดท้ายเป็นเรื่องของ mesh แบบเพียร์ทูเพียร์มากกว่ากรณีมือถือเชื่อมเกตเวย์ ดูวิธีรับมือในบทความ VPN หลัง CGNAT

Keepalive และปัญหา NAT

มีข้อติดอยู่ roaming ต้องอาศัยแพ็กเก็ตที่มาจากที่อยู่ใหม่ ถ้าอุปกรณ์เงียบ ก็ไม่ส่งอะไร และเกตเวย์ก็ไม่มีเหตุให้รู้ว่ามีการเปลี่ยน ที่แย่กว่านั้นคือเราเตอร์บ้านและเครือข่ายมือถือจำนวนมากลืม NAT mapping หลังเงียบไปสักสิบกว่าวินาที แพ็กเก็ตขาเข้าจากเกตเวย์จึงไม่ถึงทั้งที่ไม่มีอะไรหลุด

WireGuard มีการตั้งค่าเสริมชื่อ persistent keepalive เมื่อเปิดด้วยช่วงสั้น ๆ เช่น 25 วินาที อุปกรณ์จะส่งแพ็กเก็ตว่างที่ผ่านการยืนยันแม้ไม่มีอะไรจะพูด ซึ่งทำสองหน้าที่

• รักษา NAT mapping บนเส้นทางให้ยังเปิดอยู่
• บอกอีกฝั่งว่า endpoint ปัจจุบันของอุปกรณ์คืออะไรภายในไม่กี่วินาทีหลังการเปลี่ยน

ต้นทุนคือทราฟฟิกเล็กน้อยและแบตเตอรี่นิดหน่อย สำหรับมือถือที่ใช้ทั้งวัน การแลกนี้มักคุ้ม และแอปจำนวนมากเลือกค่าที่เหมาะให้เอง ส่วนเดสก์ท็อปที่เสียบสายอยู่นิ่ง ๆ อาจไม่ต้องใช้ keepalive หากอยากเข้าใจเรื่องแบตเตอรี่ ดู VPN กินแบตเตอรี่ไหม

การเปลี่ยนกุญแจและการจับมือระหว่างย้าย

WireGuard ยังรีเฟรชกุญแจเซสชันตามเวลา ราวทุกสองสามนาทีเมื่อมีทราฟฟิก โดยใช้การจับมือสั้น ๆ roaming กับการเปลี่ยนกุญแจเป็นกลไกแยกกัน แต่เสริมกันอย่างมีประโยชน์ คือแพ็กเก็ตจับมือเองก็อัปเดต endpoint ด้วย ถ้ามือถือเปลี่ยนเครือข่ายและส่งการจับมือจากที่อยู่ใหม่ เกตเวย์ก็รู้การย้ายทันที

ลำดับเวลาตัวอย่างสั้น ๆ

1. 09:00:00 มือถือบน Wi-Fi มีอุโมงค์ทำงานอยู่
2. 09:00:10 คุณเดินออกจากอาคาร มือถือเปลี่ยนไปเน็ตมือถือด้วยที่อยู่ใหม่
3. 09:00:11 แอปส่งแพ็กเก็ต เกตเวย์ยืนยันและอัปเดต endpoint ของคุณ
4. หลัง 09:00:11 คำตอบมาที่ที่อยู่ใหม่ หน้าเว็บที่โหลดค้างอาจสะดุดสั้น ๆ แล้วไปต่อ

ถ้าขั้นที่ 3 ต้องรอให้คุณทำอะไร เช่นเปิดแอป ความล่าช้านั้นคือสิ่งที่คุณรู้สึกว่าอุโมงค์ "ค้าง"

ทำไมอุโมงค์ยังค้างหลัง roaming

roaming ไม่ใช่เวทมนตร์ นี่คือสาเหตุทั่วไปของอาการค้าง เรียงตามลำดับที่ควรตรวจ

1. เครือข่ายใหม่บล็อก UDP WireGuard ใช้ UDP โรงแรม ออฟฟิศ และเครือข่ายสาธารณะบางแห่งกรอง UDP แพ็กเก็ตจากที่อยู่ใหม่จึงไม่ถึง ลองย้ายไปเน็ตมือถือหรือเครือข่ายอื่นเพื่อยืนยัน
2. NAT mapping เก่าค้าง เส้นทางเก่ายังอยู่จนหมดอายุและคำตอบไปไม่ถึง keepalive มักช่วยเลี่ยง
3. แปลงชื่อ endpoint ครั้งเดียว ถ้าเกตเวย์ถูกตั้งด้วยชื่อโฮสต์และที่อยู่เปลี่ยน ไคลเอนต์อาจใช้ที่อยู่เก่าต่อ แอปที่แปลงชื่อใหม่ตอนเชื่อมต่อใหม่จัดการได้ บางแอปต้องรีสตาร์ต
4. ระบบปฏิบัติการพักแอป โหมดประหยัดพลังงานแรง ๆ อาจทำให้โปรเซส VPN หลับพอดีตอนสลับ
5. Captive portal Wi-Fi ใหม่อาจต้องการหน้าลงชื่อก่อนทราฟฟิกจะผ่าน VPN ผ่านไม่ได้จนกว่าจะทำเสร็จ ดู ปัญหา captive portal กับ VPN
6. ขนาดแพ็กเก็ต เครือข่ายใหม่อาจมีขนาดแพ็กเก็ตสูงสุดเล็กกว่า แพ็กเก็ตใหญ่จึงหายไป ปัญหา MTU ของ VPN อธิบายอาการนี้

หากเจออาการค้าง ขั้นตอนเร็ว ๆ ใน การเชื่อมต่อใหม่เมื่อ VPN หลุด ครอบคลุมการปิด-เปิดการเชื่อมต่ออย่างถูกต้อง และ ปรับปรุงความเสถียรของ VPN ไปไกลกว่านั้น

เทียบ roaming กับโปรโตคอลอื่น

โปรโตคอลอื่นแก้ปัญหาเดียวกันในแบบของตน IKEv2 ที่มีส่วนขยาย MOBIKE ก็อัปเดตที่อยู่ได้โดยไม่ต้องสร้างเซสชันใหม่ทั้งหมด จึงมีชื่อเสียงที่ดีบนมือถือ รายละเอียดอยู่ใน WireGuard เทียบ IKEv2 ส่วน OpenVPN ในโหมดที่พบบ่อยมักต้องสร้างเซสชันใหม่หลังเปลี่ยนที่อยู่ ความล่าช้าจึงสังเกตง่ายกว่า นี่เป็นความต่างเชิงการออกแบบทั่วไป ผลที่คุณเห็นยังขึ้นกับแอปและระบบปฏิบัติการด้วย

วิธีทดสอบ roaming ด้วยตัวเอง

ไม่ต้องใช้เครื่องมือพิเศษก็เห็นพฤติกรรมของอุปกรณ์ตัวเองได้ ลองบนมือถือที่ใช้แอป VPN อยู่แล้ว

1. เชื่อมต่อ VPN บน Wi-Fi ที่บ้านและยืนยันว่าหน้าเว็บโหลดได้
2. เริ่มสิ่งที่ต่อเนื่องแต่ไม่เสียหาย เช่นเสียง Stream ยาว ๆ หรือแอปทดสอบ ping
3. ปิด Wi-Fi จากการตั้งค่าด่วน ให้มือถือย้ายไปเน็ตมือถือ จดเวลา
4. ดูว่า Stream หยุดนานเท่าไร หยุดสองสามวินาทีถือว่าดี หยุดครึ่งนาทีขึ้นไปแปลว่าแอปอาจรอหมดเวลาหรือรอการจับมือ
5. เปิด Wi-Fi กลับและทำซ้ำ การย้ายกลับมักต่างจากย้ายออก เพราะมือถืออาจใช้เวลาเลือก Wi-Fi
6. ทำอีกครั้งบนเครือข่ายอื่น เช่นร้านกาแฟ เพราะเครือข่ายที่กรอง UDP ทำให้ผลเปลี่ยนไปเลย

จดสิ่งที่เห็นไว้ ถ้าหยุดนานในทุกเครือข่าย ให้ดูการตั้งค่าแบตเตอรี่และการทำงานเบื้องหลังของแอปก่อนโทษโปรโตคอล ถ้านานเฉพาะเครือข่ายเดียว ปัญหาน่าจะอยู่ที่เครือข่ายนั้น การสังเกตแบบนี้มีประโยชน์กว่ากฎลัดใด ๆ เพราะผลขึ้นกับมือถือ ระบบปฏิบัติการ และแอป VPN รวมกัน แล็ปท็อปก็ทดสอบได้เหมือนกันโดยสลับจาก Wi-Fi ไปฮอตสปอตมือถือ ซึ่งยังเป็นการทดสอบที่ดีว่าการดาวน์โหลดยาว ๆ จะเป็นอย่างไร

สิ่งที่ roaming ไม่ได้ทำ

• ไม่ได้แก้เครือข่ายแย่ ถ้าการเชื่อมต่อใหม่ช้าหรือคับคั่ง อุโมงค์ก็เป็นเช่นนั้นด้วย
• ไม่ได้ซ่อนว่าคุณย้าย เกตเวย์เรียนรู้ที่อยู่ใหม่ของคุณเป็นส่วนของการทำงานปกติ ผู้ให้บริการเครือข่ายก็เห็นการเปลี่ยนเช่นกัน
• ไม่รับประกันว่าแอปทุกตัวรอด การดาวน์โหลด การโทร และเซสชันเกมบางอย่างอาจหลุดเพราะแอปเองเสียการเชื่อมต่อ ไม่ใช่อุโมงค์
• ไม่ใช่ฟีเจอร์ความเป็นส่วนตัวในตัวเอง มันทำให้อุโมงค์สะดวกขึ้น ความเป็นส่วนตัวขึ้นกับผู้ให้บริการ การตั้งค่า และนิสัยของคุณ

สรุป

WireGuard roaming ทำงานได้เพราะอุปกรณ์ถูกระบุด้วยกุญแจเข้ารหัส ไม่ใช่ด้วยที่อยู่ เมื่อแพ็กเก็ตที่ผ่านการยืนยันมาจากที่อยู่ใหม่ ฝั่งรับอัปเดต endpoint ที่เก็บไว้และตอบไปที่นั่นโดยไม่ต้องเจรจาแยก keepalive ช่วยให้อุปกรณ์หลัง NAT ยังติดต่อได้ และอาการค้างส่วนใหญ่มาจาก UDP ที่ถูกบล็อก mapping เก่า ชื่อโฮสต์ที่แปลงครั้งเดียว หรือ captive portal ลองทดสอบกับอุปกรณ์ของคุณโดยสลับเครือข่ายขณะอุโมงค์ทำงาน และใช้คู่มือเรื่องความเสถียรหากค้าง

ถ้าอยากลองแอป VPN บนมือถือและแล็ปท็อปของคุณ หน้าดาวน์โหลด มีแอปฟรี และ หน้าราคา อธิบายวิธีทำงานของแพ็กเกจเติมเงิน