Zero Trust กับ VPN ต่างกันอย่างไร

ถ้าคุณทำงานหรืออยู่ใกล้วงการไอที คุณอาจเคยได้ยินว่า "VPN ตายแล้ว" และ Zero Trust คืออนาคต แต่ถ้าคุณแค่ใช้ VPN ปกป้องการเชื่อมต่อบนเครือข่ายโรงแรม การถกเถียงนี้อาจฟังดูไม่เกี่ยวกับคุณเลย ทั้งสองปฏิกิริยาพลาดประเด็น Zero Trust กับ VPN ไม่ใช่สองแบรนด์ของสินค้าเดียวกัน ทั้งสองตอบคนละคำถาม และความสับสนมาจากวิธีที่ผู้ขายนำมาเทียบกัน

คู่มือนี้อธิบายความต่างแบบเข้าใจง่าย VPN แบบเข้าถึงระยะไกลดั้งเดิมทำอะไรและมีจุดอ่อนตรงไหน Zero Trust หมายถึงอะไรจริง ๆ และศัพท์ที่เกี่ยวข้องอย่าง ZTNA, SASE และ SD-WAN เข้ามาอยู่ตรงไหน เป็นความรู้พื้นฐานของวงการ ไม่ใช่คำแนะนำสำหรับองค์กรใดโดยเฉพาะ และไม่ได้อ้างอะไรเกี่ยวกับผลิตภัณฑ์ใดเลย

VPN แบบเข้าถึงระยะไกลดั้งเดิมทำงานอย่างไร

VPN แบบเข้าถึงระยะไกลให้ผู้ใช้มีเส้นทางที่ปลอดภัยเข้าสู่เครือข่ายส่วนตัว แล็ปท็อปของคุณสร้างอุโมงค์เข้ารหัสไปยังเกตเวย์ VPN ขององค์กร เมื่ออุโมงค์ทำงาน แล็ปท็อปจะทำตัวเหมือนเสียบสายอยู่ในเครือข่ายออฟฟิศ มีที่อยู่ภายในและเข้าถึงสิ่งที่เครือข่ายอนุญาต สำหรับกลไกพื้นฐาน ดู VPN ทำงานอย่างไร

โมเดลนี้มีจุดแข็งจริง ผ่านการใช้งานมานาน เข้าใจกันดี ใช้ได้กับแอปพลิเคชันเกือบทุกชนิด และมีมาตรฐานและแนวทางรองรับ เช่น NIST SP 800-77 สำหรับ VPN แบบ IPsec คู่มือของ NIST เรื่องความปลอดภัยของการทำงานระยะไกลระบุ VPN แบบอุโมงค์ไว้ร่วมกับตัวเลือกการเข้าถึงระยะไกลอื่น เช่น พอร์ทัล รีโมตเดสก์ท็อป และการเข้าถึงแอปพลิเคชันโดยตรง

จุดอ่อนคือแนวคิดที่อยู่ข้างใต้ ซึ่งบางครั้งเรียกว่า ปราสาทและคูน้ำ อุโมงค์คือสะพานชัก เมื่อใครเข้ามาข้างในแล้ว เครือข่ายมักเชื่อใจเขา ทำให้เกิดปัญหาที่รู้จักกันดีหลายอย่าง

• เข้าถึงกว้างเป็นค่าเริ่มต้น ผู้ใช้ VPN มักเข้าถึงระบบได้มากกว่าที่งานต้องการ เพราะการจำกัดสิทธิ์ทีละเครือข่ายดูแลยาก
• ข้อมูลล็อกอินที่ถูกขโมยทรงพลัง ถ้าผู้โจมตีได้ชื่อผู้ใช้และรหัสผ่านที่ใช้ได้ VPN อาจให้ขอบเขตการเข้าถึงเท่ากับพนักงานตัวจริง
• การเคลื่อนที่ในแนวขวาง (lateral movement) แล็ปท็อปที่ถูกเจาะบนอุโมงค์สามารถสำรวจเครื่องอื่นในเครือข่ายภายใน
• เกตเวย์ที่เปิดเผย เกตเวย์ VPN ต้องเข้าถึงได้จากอินเทอร์เน็ต จึงเป็นเป้าหมายที่มองเห็นได้และต้องแพตช์ตลอดเวลา
• ประสิทธิภาพและความซับซ้อน การส่งทราฟฟิกระยะไกลทั้งหมดผ่านเกตเวย์กลางอาจเกิดคอขวด โดยเฉพาะเมื่อแอปส่วนใหญ่ย้ายไปอยู่บนคลาวด์แล้ว

Zero Trust หมายถึงอะไร

Zero Trust เป็นแนวทางด้านความปลอดภัย ไม่ใช่ผลิตภัณฑ์ คำนิยามที่รู้จักที่สุดมาจาก NIST SP 800-207 เอกสาร Zero Trust Architecture แนวคิดหลักคือ ไม่มีผู้ใช้ อุปกรณ์ หรือตำแหน่งเครือข่ายใดได้รับความไว้วางใจเพียงเพราะมันอยู่ที่ไหน การอยู่ในเครือข่ายออฟฟิศหรืออยู่ในอุโมงค์ VPN ไม่ได้สร้างความไว้วางใจในตัวเอง

ในทางปฏิบัติ Zero Trust ตั้งอยู่บนหลักการไม่กี่ข้อ

1. ตรวจสอบอย่างชัดแจ้ง ทุกคำขอเข้าถึงถูกตรวจด้วยตัวตน สุขภาพของอุปกรณ์ ตำแหน่ง และสัญญาณอื่น
2. ให้สิทธิ์น้อยที่สุด ผู้ใช้แต่ละคนเข้าถึงเฉพาะทรัพยากรที่ต้องใช้ และนานเท่าที่ต้องใช้
3. สมมติว่าถูกเจาะแล้ว ออกแบบโดยถือว่าผู้โจมตีอาจอยู่ข้างในแล้ว เพื่อจำกัดความเสียหายด้วยการแบ่งส่วนและการเฝ้าระวัง
4. ตรวจต่อเนื่อง ความไว้วางใจไม่ถาวร เซสชันอาจเสียสิทธิ์ถ้าอุปกรณ์ไม่ผ่านเกณฑ์หรือพฤติกรรมดูผิดปกติ

ไม่มีหลักการข้อใดพูดถึงอุโมงค์ การออกแบบแบบ Zero Trust อาจใช้อุโมงค์เข้ารหัส แต่อุโมงค์ไม่ใช่สิ่งที่ทำให้มันเป็น Zero Trust การยืนยันตัวตนที่แข็งแรงคือรากฐาน การยืนยันตัวตนสองขั้นตอนและแนวทางในแหล่งข้อมูล MFA ของ CISA สำคัญกว่าการเลือกโปรโตคอลอุโมงค์มากในเรื่องนี้ CISA Zero Trust Maturity Model แสดงวิธีที่องค์กรค่อย ๆ ก้าวหน้าทีละขั้นในด้านตัวตน อุปกรณ์ เครือข่าย แอปพลิเคชัน และข้อมูล

ZTNA เทียบกับ VPN

Zero Trust Network Access หรือ ZTNA เป็นหมวดผลิตภัณฑ์ที่ถูกเทียบกับ VPN บ่อยที่สุด มันนำแนวคิด Zero Trust มาใช้กับคำถามว่า "คนที่อยู่ไกลจะเข้าถึงแอปพลิเคชันของเราอย่างไร"

ในดีไซน์ ZTNA ทั่วไป

• อุปกรณ์ของผู้ใช้รันเอเจนต์ขนาดเล็ก หรือผู้ใช้เปิดพอร์ทัลเว็บสำหรับแอปที่ใช้ผ่านเบราว์เซอร์
• ตัวกลางหรือเกตเวย์ตรวจว่าผู้ใช้เป็นใคร อุปกรณ์สุขภาพดีแค่ไหน และนโยบายอนุญาตหรือไม่
• ถ้าอนุญาต ผู้ใช้ถูกเชื่อมกับแอปพลิเคชันตัวเดียวนั้น ไม่ใช่เครือข่ายที่อยู่ข้างหลัง
• แอปพลิเคชันไม่ถูกเปิดสู่อินเทอร์เน็ตสาธารณะโดยตรง ซึ่งลดพื้นผิวการโจมตี
• การตัดสินใจถูกทำซ้ำตลอดเซสชัน

การเปรียบเทียบอย่างที่ค้นหาว่า "ztna vs vpn" มักลงที่ความต่างนี้

	VPN แบบเข้าถึงระยะไกลดั้งเดิม	ZTNA
สิ่งที่ได้	เส้นทางเข้าสู่เครือข่าย	การเข้าถึงแอปพลิเคชันเฉพาะตัว
ความไว้วางใจเริ่มต้น	มักกว้างเมื่อเชื่อมต่อแล้ว	แคบ แยกตามแอปพลิเคชัน
การตรวจอุปกรณ์	เป็นทางเลือก มักตรวจตอนเชื่อมต่อ	มักมีในตัวและตรวจซ้ำ
การเปิดเผยเครือข่าย	เกตเวย์เข้าถึงได้จากอินเทอร์เน็ต	แอปพลิเคชันถูกซ่อนหลังตัวกลาง
เหมาะที่สุดกับ	แอปรุ่นเก่าและทุกอย่างที่อิงเครือข่าย	เว็บ คลาวด์ และแอปพลิเคชันสมัยใหม่

ZTNA ไม่ใช่เวทมนตร์ ต้องมีระบบจัดการตัวตนที่ดี ข้อมูลอุปกรณ์ที่ถูกต้อง และนโยบายที่เขียนดี แอปรุ่นเก่าบางตัวที่พึ่งการเข้าถึงเครือข่ายแบบเปิดนำมาวางหลัง ZTNA ได้ยาก และผลิตภัณฑ์บางตัวที่ขายเป็น ZTNA จริง ๆ แล้วก็คืออุโมงค์ที่มีการควบคุมนโยบายดีขึ้น ให้มองป้ายชื่อด้วยความอยากรู้ที่แข็งแรง และถามว่าอะไรเปลี่ยนไปจริง ๆ

SASE เทียบกับ VPN

SASE ย่อมาจาก Secure Access Service Edge บัญญัติโดยบริษัทวิจัย Gartner ในปี 2019 หมายถึงการส่งมอบเครือข่ายและความปลอดภัยร่วมกันเป็นบริการบนคลาวด์ ชุด SASE ทั่วไปประกอบด้วย

• SD-WAN สำหรับเชื่อมต่อสาขาและกำหนดเส้นทางทราฟฟิกอย่างมีประสิทธิภาพ
• Secure web gateway เพื่อกรองทราฟฟิกเว็บ
• Cloud access security broker เพื่อควบคุมการใช้แอปพลิเคชันบนคลาวด์
• Firewall as a service สำหรับการควบคุมระดับเครือข่าย
• ZTNA สำหรับการเข้าถึงแอปพลิเคชันส่วนตัว

ดังนั้นการเทียบ "SASE vs VPN" คือการเทียบสถาปัตยกรรมกับเทคโนโลยีเดี่ยว แพลตฟอร์ม SASE ทำให้ VPN ดั้งเดิมไม่จำเป็นสำหรับพนักงานระยะไกลหลายคนได้ เพราะ ZTNA และฟังก์ชัน web gateway รองรับความต้องการเดียวกันด้วยการควบคุมที่ละเอียดกว่า แต่ SASE มุ่งที่องค์กรที่ต้องการรวมเครื่องมือหลายตัว และเป็นโครงการใหญ่ ธุรกิจเล็กที่มีพนักงานไม่กี่คนอาจพบว่า VPN ธรรมดาที่ดูแลดีและยืนยันตัวตนแข็งแรงเป็นจุดเริ่มต้นที่ใช้ได้จริงกว่า

SD-WAN เทียบกับ VPN

SD-WAN หรือ software-defined wide area network เป็นอีกคำที่มักถูกปนเข้ามา มันแก้ปัญหาอีกแบบ บริษัทที่มีหลายสาขาต้องให้สาขาเหล่านั้นคุยกับสำนักงานใหญ่และคลาวด์ SD-WAN จัดการหลายการเชื่อมต่อในแต่ละสาขา เช่น บรอดแบนด์ มือถือ และสายส่วนตัว และเลือกเส้นทางที่ดีที่สุดให้ทราฟฟิกของแต่ละแอปตามนโยบายส่วนกลาง

ความสัมพันธ์กับ VPN มีรายละเอียด

• ผลิตภัณฑ์ SD-WAN มักใช้อุโมงค์เข้ารหัส ซึ่งมักเป็น IPsec ระหว่างสาขา ดังนั้นเทคโนโลยี VPN มักอยู่ข้างในมัน
• SD-WAN เกี่ยวกับการเชื่อมต่อระหว่างสาขา (site-to-site) และประสิทธิภาพ ส่วน VPN แบบเข้าถึงระยะไกลเกี่ยวกับผู้ใช้รายบุคคลที่เชื่อมต่อจากที่ใดก็ได้
• SD-WAN ลำพังไม่ใช่โซลูชัน Zero Trust มันปรับปรุงการไหลของทราฟฟิก แต่ไม่ตัดสินว่าใครควรเข้าถึงแอปพลิเคชันไหน

เมื่อบทความเทียบ "sd wan vs vpn" คำตอบที่มีประโยชน์คือ ทั้งสองมักทำงานคนละชั้นและมักใช้ร่วมกัน

เทียบแบบเคียงข้าง: เครื่องมือไหนเหมาะกับสถานการณ์ไหน

สถานการณ์	ตัวเลือกที่สมเหตุสมผล	เหตุผล
ทีมเล็กต้องเข้าถึงเซิร์ฟเวอร์ภายในเครื่องเดียว	VPN แบบเข้าถึงระยะไกลพร้อมการยืนยันตัวตนที่แข็งแรง	เรียบง่าย คุ้นเคย และดูแลราคาไม่แพง
บริษัทที่กำลังโตและใช้แอปคลาวด์กับเว็บเป็นหลัก	ZTNA หรือ SASE	เข้าถึงแยกตามแอปและพึ่งเกตเวย์กลางน้อยลง
บริษัทที่มีหลายสาขา	SD-WAN มักใช้ร่วมกับอุโมงค์เข้ารหัส	จัดการหลายเส้นทางและใช้นโยบายส่วนกลาง
ระบบรุ่นเก่าที่ต้องเข้าถึงเครือข่ายเต็มรูปแบบ	VPN ควรมีการแบ่งส่วนเครือข่าย	แอปรุ่นเก่าจำนวนมากคาดหวังเส้นทางเครือข่าย
ผู้รับเหมาที่ใช้เพียงแอปเดียว	ZTNA หรือบัญชี VPN ที่จำกัดขอบเขตเข้ม	สิทธิ์น้อยที่สุดและเพิกถอนง่าย
บุคคลบน Wi-Fi โรงแรมหรือร้านกาแฟ	VPN ส่วนบุคคล ร่วมกับ HTTPS และนิสัยที่ดี	ปกป้องทราฟฟิกบนเครือข่ายที่คุณควบคุมไม่ได้

แถวสุดท้ายสำคัญสำหรับผู้อ่านทั่วไป บริการ VPN ส่วนบุคคลที่คุณติดตั้งบนมือถือหรือแล็ปท็อปแก้ปัญหาคนละแบบกับ Zero Trust ระดับองค์กร มันเข้ารหัสทราฟฟิกระหว่างอุปกรณ์ของคุณกับบริการ VPN เพื่อให้เครือข่ายในพื้นที่อ่านไม่ได้ มันไม่ใช่ระบบควบคุมการเข้าถึงที่อิงตัวตนสำหรับแอปพลิเคชันของบริษัท และไม่ได้แทนที่ความจำเป็นของรหัสผ่านที่ดี ดูขีดจำกัดในสิ่งที่ VPN ปกป้องคุณไม่ได้ และดูว่าสองแนวคิดมาพบกันอย่างไรในการตั้งค่าทำงานที่บ้านทั่วไปที่ VPN สำหรับทำงานระยะไกล

ก้าวไปสู่ Zero Trust ทีละขั้น

Zero Trust คือการเดินทาง ไม่ใช่สวิตช์ องค์กรที่ประสบความสำเร็จแทบไม่เคยรื้อทุกอย่างทิ้งในครั้งเดียว เส้นทางที่สมเหตุสมผลมีดังนี้

1. เสริมตัวตนก่อน เปิดการยืนยันตัวตนหลายขั้นตอนทุกที่ เริ่มจากผู้ดูแลระบบและการเข้าถึงระยะไกล นี่คือขั้นตอนที่คุ้มค่าที่สุดเพียงขั้นเดียว
2. ทำบัญชีสิ่งที่มี ลิสต์แอปพลิเคชัน ใครต้องใช้ และตอนนี้เข้าถึงอย่างไร
3. รู้จักอุปกรณ์ของคุณ ติดตามว่าอุปกรณ์ใดเชื่อมต่อ และอัปเดตแพตช์และอยู่ภายใต้การจัดการหรือไม่
4. ลดสิ่งที่ VPN เข้าถึงได้ แม้ก่อนเปลี่ยนเครื่องมือ ให้แบ่งส่วนเครือข่ายเพื่อให้ผู้ใช้ VPN เข้าถึงเฉพาะสิ่งที่ต้องใช้ ที่ใช้ split tunneling ให้เข้าใจข้อแลกเปลี่ยนที่อธิบายใน split tunneling คืออะไร
5. ย้ายแอปที่ง่ายก่อน แอปเว็บและคลาวด์มักวางหลัง ZTNA ได้ง่ายที่สุด
6. คง VPN ไว้ที่ที่เหมาะ ปล่อยการใช้งานกับระบบเก่าและแบบ site-to-site บนอุโมงค์จนกว่าตัวทดแทนจะพร้อม
7. เฝ้าระวังและปรับ บันทึกการตัดสินใจเรื่องการเข้าถึง ทบทวน และเข้มงวดนโยบายขึ้นเมื่อเวลาผ่านไป

ข้อจำกัดและสิ่งที่ควรระวัง

• Zero Trust ไม่ใช่ผลิตภัณฑ์ที่ซื้อครั้งเดียวจบ ผู้ขายใช้คำนี้อย่างอิสระ ให้ถามว่าผลิตภัณฑ์ทำตามหลักการข้อไหนจริงและอย่างไร
• VPN ไม่ล้าสมัย ยังเป็นเครื่องมือที่ดีตามมาตรฐาน โดยเฉพาะสำหรับการเชื่อมต่อระหว่างสาขาและการป้องกันส่วนบุคคลบนเครือข่ายที่ไม่น่าไว้ใจ ผลิตภัณฑ์ ZTNA ที่ตั้งค่าแย่อาจแย่กว่า VPN ที่ดูแลดี
• ความซับซ้อนมีต้นทุน นโยบาย การเชื่อมต่อระบบตัวตน และการเฝ้าระวังต้องการคนที่มีเวลาและทักษะ องค์กรเล็กควรชั่งข้อนี้อย่างตรงไปตรงมา
• ไม่มีแนวทางใดป้องกันการโจมตีได้ทั้งหมด ฟิชชิง อุปกรณ์ที่ถูกขโมย และความผิดพลาดของผู้ใช้ที่ไว้ใจได้ เอาชนะดีไซน์ใดก็ได้ การฝึกอบรมและสุขอนามัยพื้นฐานยังสำคัญ
• ตรวจแหล่งที่มาของคำอ้าง หน้าเปรียบเทียบของผู้ขายคือการตลาด เอกสารของ NIST และ CISA เป็นฐานที่เป็นกลางกว่าสำหรับประเมินแผน

สรุป

VPN สร้างอุโมงค์เข้ารหัส และ VPN แบบเข้าถึงระยะไกลดั้งเดิมมักให้ผู้ใช้เข้าถึงเครือข่ายได้กว้างเมื่อเข้าไปแล้ว Zero Trust เป็นแนวทางด้านความปลอดภัยที่ไม่ให้ความไว้วางใจตามตำแหน่ง จึงตรวจสอบทุกคำขอและให้ผู้ใช้เข้าถึงน้อยที่สุดเท่าที่จำเป็น ZTNA นำแนวทางนั้นมาใช้กับการเข้าถึงแอปพลิเคชัน SASE รวมเครือข่ายและความปลอดภัยเป็นบริการบนคลาวด์ และ SD-WAN จัดการการเชื่อมต่อของสาขา แนวคิดเหล่านี้ซ้อนทับกันแต่สลับกันไม่ได้ และหลายองค์กรใช้มากกว่าหนึ่งอย่าง สำหรับบุคคลทั่วไป VPN ส่วนบุคคลยังเป็นเครื่องมือที่แยกต่างหากและมีประโยชน์เพื่อปกป้องทราฟฟิกบนเครือข่ายที่คุณควบคุมไม่ได้

ถ้าคุณมองหาการป้องกันประจำวันแบบนั้นตอนเดินทางหรือบนเครือข่ายสาธารณะ คุณเปรียบเทียบพาสแบบจำนวนวันแน่นอนได้ที่หน้าราคา