VPN คืออะไร? ทำไมองค์กรต้องมี VPN
VPN (Virtual Private Network) คือ เทคโนโลยีที่สร้างอุโมงค์เข้ารหัส (Encrypted Tunnel) ผ่าน Internet เพื่อเชื่อมต่อ Network ที่อยู่คนละสถานที่ให้เสมือนอยู่ใน LAN เดียวกัน VPN เป็นเทคโนโลยีที่จำเป็นสำหรับทุกองค์กร ทั้งสำหรับการเชื่อมต่อสาขา (Site-to-Site VPN) และการให้พนักงานทำงานจากที่บ้าน (Remote Access VPN) ข้อมูลทั้งหมดที่วิ่งผ่าน VPN จะถูกเข้ารหัส ทำให้ปลอดภัยจากการดักฟัง
ประเภทของ VPN
| ประเภท | ลักษณะ | เหมาะกับ |
|---|---|---|
| Site-to-Site VPN | เชื่อม Network 2 สถานที่ถาวร Router/Firewall 2 ฝั่งเชื่อมกัน | เชื่อมสำนักงานใหญ่กับสาขา |
| Remote Access VPN | ผู้ใช้แต่ละคนเชื่อมต่อเข้า Network องค์กร ผ่าน VPN Client | Work from Home, พนักงานนอกสถานที่ |
| SSL VPN (Clientless) | เข้าถึงผ่าน Web Browser ไม่ต้องติดตั้ง Client | เข้าถึง Web Application เฉพาะ |
VPN Protocol เปรียบเทียบ
| Protocol | Speed | Security | ตั้งค่า | เหมาะกับ |
|---|---|---|---|---|
| IPSec (IKEv2) | เร็วมาก | สูงมาก | ซับซ้อน | Site-to-Site, Enterprise |
| OpenVPN | เร็ว | สูงมาก | ปานกลาง | Remote Access, ทุกแพลตฟอร์ม |
| WireGuard | เร็วที่สุด | สูง | ง่ายที่สุด | Remote Access, Mobile |
| L2TP/IPSec | ปานกลาง | สูง | ง่าย | Legacy, Windows/Mac Built-in |
| PPTP | เร็ว | ต่ำ (ไม่ปลอดภัย) | ง่าย | ไม่แนะนำ — Deprecated |
Site-to-Site VPN — เชื่อมสาขาอย่างปลอดภัย
IPSec Site-to-Site VPN บน pfSense
pfSense เป็น Firewall ยอดนิยมที่รองรับ IPSec VPN ได้ดี ขั้นตอนตั้งค่า Site-to-Site IPSec VPN
- Phase 1 (IKE): ตั้งค่า Authentication (Pre-Shared Key หรือ Certificate), Encryption (AES-256), Hash (SHA-256), DH Group (14 หรือ 20), Lifetime (28800 วินาที)
- Phase 2 (IPSec): ตั้งค่า Local Network, Remote Network, Encryption (AES-256-GCM), Hash (SHA-256), PFS (DH Group 14), Lifetime (3600 วินาที)
- Firewall Rules: อนุญาต Traffic จาก Remote Subnet เข้าสู่ Local Subnet บน IPSec Interface
- Routing: pfSense จัดการ Route อัตโนมัติเมื่อ Phase 2 ตั้งค่าถูกต้อง
IPSec Site-to-Site VPN บน MikroTik
# Phase 1 - IKE Proposal
/ip ipsec profile
add name=ike-profile dh-group=modp2048 enc-algorithm=aes-256 hash-algorithm=sha256 lifetime=8h
# Phase 1 - Peer
/ip ipsec peer
add address=203.0.113.1 profile=ike-profile exchange-mode=ike2
# Phase 1 - Identity
/ip ipsec identity
add peer=ipsec-peer secret="YourPreSharedKey123!"
# Phase 2 - Proposal
/ip ipsec proposal
add name=ipsec-proposal auth-algorithms=sha256 enc-algorithms=aes-256-cbc lifetime=1h pfs-group=modp2048
# Phase 2 - Policy
/ip ipsec policy
add src-address=10.0.10.0/24 dst-address=10.0.20.0/24 tunnel=yes sa-src-address=198.51.100.1 sa-dst-address=203.0.113.1 proposal=ipsec-proposalRemote Access VPN — ให้พนักงาน Work from Home
OpenVPN บน pfSense
- สร้าง Certificate Authority (CA): System → Cert Manager → สร้าง CA สำหรับ VPN
- สร้าง Server Certificate: สร้าง Certificate สำหรับ OpenVPN Server
- ตั้งค่า OpenVPN Server: VPN → OpenVPN → Servers → เลือก Protocol (UDP 1194), Encryption (AES-256-GCM), Tunnel Network (10.10.10.0/24)
- สร้าง User Certificate: สร้าง Certificate สำหรับแต่ละ User
- Export Client Config: ใช้ OpenVPN Client Export Package สร้างไฟล์ .ovpn สำหรับแต่ละ User
- Client ติดตั้ง: ดาวน์โหลด OpenVPN Client แล้ว Import ไฟล์ .ovpn
WireGuard — VPN แห่งอนาคต
WireGuard เป็น VPN Protocol ใหม่ที่เร็วกว่า OpenVPN 3-4 เท่า ใช้โค้ดน้อยกว่า 10 เท่า ตั้งค่าง่าย เหมาะสำหรับ Remote Access VPN
- ข้อดี: เร็วมาก, Latency ต่ำ, ประหยัดแบตมือถือ, ตั้งค่าง่าย, โค้ดน้อย (ตรวจสอบ Security ง่าย)
- ข้อเสีย: ไม่มี Dynamic IP (ต้องกำหนด IP แต่ละ Peer), ยังไม่รองรับ TCP (ใช้ UDP เท่านั้น)
- รองรับ: pfSense 2.7+, MikroTik RouterOS 7+, Linux, Windows, macOS, iOS, Android
VPN Security Best Practices
- ใช้ Certificate แทน Pre-Shared Key: Certificate ปลอดภัยกว่า PSK มาก โดยเฉพาะสำหรับ Remote Access
- Strong Encryption: ใช้ AES-256-GCM + SHA-256 ขั้นต่ำ อย่าใช้ DES, 3DES, MD5
- Split Tunnel vs Full Tunnel: Full Tunnel ปลอดภัยกว่า (Traffic ทั้งหมดผ่าน VPN) แต่ช้ากว่า Split Tunnel (เฉพาะ Traffic ไปองค์กรผ่าน VPN)
- Multi-Factor Authentication: เปิด MFA สำหรับ Remote Access VPN ป้องกัน Password ถูกขโมย
- Log และ Monitor: บันทึก VPN Connection Log ทั้งหมด ตรวจสอบ Connection ผิดปกติ
- Limit Access: ใช้ Firewall Rule จำกัดให้ VPN User เข้าถึงเฉพาะ Resource ที่จำเป็น
- อัปเดต Firmware: อัปเดต VPN Server และ Client อย่างสม่ำเสมอ
Troubleshooting VPN ที่พบบ่อย
- VPN เชื่อมต่อไม่ได้: ตรวจสอบ Firewall Rule ว่าเปิด Port ที่ถูกต้อง (IPSec: UDP 500, 4500 / OpenVPN: UDP 1194 / WireGuard: UDP 51820)
- เชื่อมต่อได้แต่เข้า Resource ไม่ได้: ตรวจสอบ Routing และ Firewall Rule บน VPN Interface
- VPN ช้า: ตรวจสอบ Bandwidth ของ Internet ทั้ง 2 ฝั่ง ลอง MTU ลดจาก 1500 เป็น 1400
- VPN หลุดบ่อย: ตรวจสอบ DPD (Dead Peer Detection) Settings, ตรวจสอบ NAT-T
สรุป VPN — เทคโนโลยีที่ทุกองค์กรต้องมี
VPN เป็นเทคโนโลยีพื้นฐานที่สำคัญสำหรับทุกองค์กร ทั้งเชื่อมสาขาและให้พนักงาน Work from Home อย่างปลอดภัย การเลือก Protocol ที่ถูกต้องและตั้งค่า Security อย่างเข้มงวดจะช่วยให้ VPN ทำงานได้อย่างเสถียรและปลอดภัย หากต้องการข้อมูลเพิ่มเติม ติดตามได้ที่ SiamLanCard.com
