วิธีตั้ง L2TP VPN บน Router D-Link ให้เชื่อมต่อสำนักงานจากภายนอกได้

 การตั้ง L2TP VPN บน Router D-Link เหมาะสำหรับสำนักงานที่ต้องการให้พนักงาน ผู้ดูแลระบบ หรืออุปกรณ์จากภายนอกเชื่อมกลับเข้ามายัง Network ภายในผ่าน VPN เช่น เข้า Server, NAS, NVR หรือระบบงานของบริษัท

ในทางปฏิบัติ ควรใช้ L2TP ร่วมกับ IPsec หากอุปกรณ์และ Firmware รองรับ เพราะ L2TP เพียงอย่างเดียวไม่ได้ให้การเข้ารหัสข้อมูลในระดับที่ควรใช้สำหรับ Remote Access ผ่าน Internet

บทความนี้จาก comsiam จะอธิบายตั้งแต่การเตรียม Public IP, DDNS, L2TP Server, VPN User, Client IP Pool, Pre-shared Key, Firewall และการตั้ง Client เพื่อให้ใช้งานจริงได้อย่างเป็นระบบ

① L2TP VPN คืออะไร

L2TP ย่อมาจาก

Layer 2 Tunneling Protocol

ใช้สร้าง Tunnel ระหว่าง VPN Client และ VPN Server

โครงสร้างตัวอย่าง

Notebook พนักงาน
↓
Internet
↓
L2TP/IPsec VPN
↓
D-Link Router
↓
Office LAN
↓
Server / NAS / NVR

เมื่อ VPN Connected ผู้ใช้จะสามารถเข้าถึง Network ภายในตามสิทธิ์ที่ Router กำหนด

② L2TP กับ L2TP/IPsec ต่างกันอย่างไร

L2TP ทำหน้าที่สร้าง Tunnel แต่ไม่ได้ออกแบบมาเพื่อเข้ารหัสข้อมูลด้วยตัวเอง

จึงนิยมใช้ร่วมกับ

IPsec

เป็น

L2TP/IPsec

โดย

L2TP
→ Tunnel

และ

IPsec
→ Encryption / Security

หาก Router รองรับ ควรเลือก L2TP/IPsec แทน L2TP แบบไม่เข้ารหัสสำหรับการเชื่อมต่อผ่าน Internet

③ Router D-Link ทุกรุ่นรองรับ L2TP Server หรือไม่

ไม่

ความสามารถนี้พบได้มากกว่าใน D-Link Business Router เช่น DSR บางรุ่น

ก่อนเริ่มให้ตรวจ

Model
Hardware Revision
Firmware Version

และดูว่ามีเมนู เช่น

VPN
→ L2TP

หรือ

L2TP Server

หรือไม่

④ เตรียมข้อมูลก่อนตั้ง VPN

ควรเตรียม

Public IP หรือ DDNS
Office LAN
VPN Client IP Pool
VPN Username
VPN Password
Pre-shared Key

ตัวอย่าง

Office LAN:
192.168.10.0/24

Gateway:
192.168.10.1

VPN Pool:
192.168.50.100-150

ค่าจริงต้องวางให้สัมพันธ์กับ Network ของคุณ

⑤ ตรวจ Public IP ก่อน

VPN Client จากภายนอกต้องสามารถเข้าถึง D-Link ผ่าน Internet

ตัวอย่าง

Public IP:
203.0.113.50

จากนั้น Client ใช้ IP นี้เป็น Server Address

หาก Public IP เปลี่ยนบ่อย ควรใช้ DDNS

⑥ ใช้ DDNS สำหรับ Dynamic Public IP

แทนการจำ IP เช่น

203.0.113.50

สามารถใช้ Hostname เช่น

vpn-office.example-ddns.net

เมื่อ Public IP เปลี่ยน DDNS จะอัปเดต Hostname ให้ชี้ไปยัง IP ใหม่

VPN Client จึงไม่ต้องแก้ Server Address ทุกครั้ง

⑦ ตรวจ CGNAT

ดู WAN IP บน D-Link

หากเป็นช่วง Private หรือ Shared Address เช่น

10.x.x.x

100.64.x.x - 100.127.x.x

172.16.x.x - 172.31.x.x

192.168.x.x

อาจหมายถึง Router อยู่หลัง CGNAT หรือ Router อีกชั้น

Remote VPN จาก Internet อาจเข้าไม่ถึง D-Link โดยตรง

⑧ ตรวจ Double NAT

ตัวอย่าง

Internet
↓
Router ISP
192.168.1.1
↓
D-Link
WAN 192.168.1.2
↓
Office LAN

นี่คือ Double NAT

VPN อาจยังทำได้ แต่ Configuration จะซับซ้อนขึ้น

หากเป็นไปได้ อาจใช้

Bridge Mode

หรือ

IP Passthrough

ตามระบบของ ISP

⑨ เข้า Router D-Link

เชื่อมต่อกับ LAN ของ Router

เปิด Browser แล้วเข้า Management IP เช่น

192.168.0.1

หรือ

192.168.1.1

ตาม Configuration

จากนั้น Login ด้วยบัญชี Administrator

⑩ Backup Configuration

ก่อนแก้ VPN หรือ Firewall ควร Backup Configuration

โดยเฉพาะ Router ที่ใช้งานจริงในสำนักงาน

เพื่อให้สามารถ Restore กลับได้หากตั้งค่าผิด

⑪ เข้าเมนู L2TP VPN

ใน D-Link Business Router บางรุ่นอาจพบในลักษณะ

VPN
→ L2TP VPN

หรือ

VPN
→ L2TP
→ L2TP Server

ชื่อเมนูและตำแหน่งอาจต่างกันตาม Firmware

⑫ เปิด L2TP Server

เปิดตัวเลือก

Enable L2TP Server

หรือ

L2TP Server:
Enable

จากนั้น Router อาจแสดงตัวเลือกเพิ่มเติม เช่น

Authentication
Client IP Pool
Routing Mode
Secret
Idle Timeout

⑬ กำหนด VPN Client IP Pool

เมื่อ Client เชื่อม VPN จะได้รับ IP จาก Pool ที่กำหนด

ตัวอย่าง

Start IP:
192.168.50.100

End IP:
192.168.50.150

ผู้ใช้ VPN แต่ละรายจะได้รับ IP จากช่วงนี้

⑭ อย่าให้ VPN Pool ชน DHCP

สมมติ DHCP LAN ใช้

192.168.10.100-200

ไม่ควรใช้ VPN Pool ซ้ำช่วงเดียวกันโดยไม่มีการวางแผน

ควรแยกอย่างชัดเจน เช่น

LAN:
192.168.10.0/24

VPN:
192.168.50.0/24

หาก Router รองรับรูปแบบนี้

⑮ Routing Mode คืออะไร

D-Link Business Router บางรุ่นอาจให้เลือก

NAT

หรือ

Classical Routing

สำหรับ L2TP Client

NAT

Client VPN อาจถูก NAT เมื่อเข้าถึง Network อื่น

Classical Routing

ใช้ Routing ระหว่าง VPN Network กับ LAN โดยตรง

ควรเลือกตาม Network Architecture และ Firewall Policy

⑯ สร้าง VPN User

สร้าง Account สำหรับผู้ใช้งาน เช่น

Username:
user01

Password:
********

แล้วกำหนดให้ Account นี้มีสิทธิ์ใช้งาน VPN

ไม่ควรให้พนักงานทุกคนแชร์ Account เดียวกัน

⑰ สร้าง Account แยกคน

ตัวอย่าง

user01
user02
user03

ข้อดีคือ

• ปิดสิทธิ์เฉพาะคนได้

• ตรวจ Log ง่าย

• เปลี่ยน Password รายคน

• ลดผลกระทบเมื่อ Account รั่ว

• Audit การใช้งานได้ง่ายกว่า

⑱ ตั้ง Password ให้แข็งแรง

หลีกเลี่ยง

123456
password
company123
vpn123

ควรใช้ Password ที่มีความยาวและไม่ซ้ำกับบริการอื่น

หากระบบรองรับ Authentication ที่แข็งแรงกว่าควรนำมาใช้ร่วมด้วย

⑲ Pre-shared Key คืออะไร

หากใช้ L2TP/IPsec อาจมี

Pre-shared Key

หรือ PSK สำหรับ IPsec

ตัวอย่างแนวคิด

VPN Client
↓
PSK
+
Username
+
Password
↓
D-Link

ช่วยเพิ่มขั้นตอนในการยืนยัน Tunnel

⑳ ตั้ง Pre-shared Key ให้แข็งแรง

อย่าใช้

12345678
office
dlink
vpn

ควรใช้ Key ที่ยาวและสุ่มเพียงพอ

และไม่ควรเผยแพร่ในช่องทางที่บุคคลทั่วไปเข้าถึงได้

㉑ L2TP ใช้ Port อะไร

L2TP เกี่ยวข้องกับ

UDP 1701

หากใช้ร่วมกับ IPsec ยังเกี่ยวข้องกับ IKE/NAT-T เช่น

UDP 500
UDP 4500

ตามรูปแบบการทำงานของ VPN

จึงไม่ควรคิดว่า L2TP/IPsec ใช้เพียง Port เดียว

㉒ NAT-T คืออะไร

NAT-T หรือ NAT Traversal ช่วยให้ IPsec ทำงานผ่าน NAT ได้ดีขึ้น

โครงสร้าง

Remote Client
↓
Router บ้าน
↓
NAT-T
↓
Internet
↓
D-Link VPN Server

มีประโยชน์มากเมื่อ VPN Client อยู่หลัง Router หรือ Mobile Network

㉓ ต้องเปิด Port Forwarding ไหม

หาก D-Link เป็น VPN Server และได้รับ Public IP โดยตรง โดยทั่วไป VPN Service บน Router จะรับ Traffic เองตาม Configuration

จึงไม่ควรสร้าง Port Forwarding ไปหา Router ตัวเองแบบสุ่ม

แต่หาก D-Link อยู่หลัง Router ISP อีกชั้น อาจต้องกำหนด Traffic ที่จำเป็นบน Router ชั้นหน้าให้มาถึง D-Link

㉔ Firewall ต้องอนุญาต VPN หรือไม่

ต้องตรวจ

Router อาจมี

WAN → VPN

Policy หรือ VPN Service Configuration ที่เกี่ยวข้อง

อย่าเปิด

WAN → LAN
Allow Any

ทั้งหมดเพื่อแก้ VPN เพราะจะเพิ่มความเสี่ยงโดยไม่จำเป็น

㉕ ตั้ง Policy VPN ไปยัง LAN

เมื่อ VPN Connected แล้ว ผู้ใช้ต้องมีสิทธิ์เข้า Resource ภายใน

ตัวอย่าง

VPN Users
→ Staff LAN
Allow

หรือ

VPN Users
→ Server VLAN
Allow เฉพาะ Service ที่จำเป็น

ควรเปิดเท่าที่ต้องใช้งานจริง

㉖ ไม่ควรให้ VPN เข้า Guest VLAN

โดยทั่วไป

VPN
→ Guest

ไม่มีความจำเป็น

Guest VLAN ถูกออกแบบสำหรับผู้ใช้ภายนอก

VPN User ควรเข้าถึงเฉพาะ Network ที่เกี่ยวข้องกับงาน

㉗ จำกัด VPN ไม่ให้เข้าถึง CCTV หากไม่จำเป็น

ตัวอย่าง

VPN Staff
→ CCTV
Deny

แต่

VPN Admin
→ CCTV
Allow

ช่วยแยกสิทธิ์ระหว่างพนักงานทั่วไปกับผู้ดูแลระบบ

㉘ L2TP VPN กับ VLAN ใช้ร่วมกันได้

ตัวอย่าง

VLAN 10 → Staff
VLAN 20 → Guest
VLAN 30 → CCTV
VLAN 40 → Server

สามารถกำหนด

VPN Staff
→ VLAN 10
Allow

VPN Staff
→ VLAN 40
Allow ตาม Service

VPN Staff
→ VLAN 30
Deny

ตามนโยบายขององค์กร

㉙ ตั้ง Client บน Windows

บน Windows ให้สร้าง VPN Connection ใหม่

ค่าหลัก เช่น

VPN Provider:
Windows

Server:
vpn-office.example-ddns.net

VPN Type:
L2TP/IPsec

Username:
user01

Password:
********

หากใช้ PSK ให้กรอก Pre-shared Key ตามที่กำหนดบน D-Link

ชื่อเมนูอาจแตกต่างตาม Windows Version

㉚ ตั้ง Client บน Android

Android บางรุ่นหรือ Version อาจรองรับ VPN Protocol แตกต่างกัน

หากมี L2TP/IPsec ให้กรอก

Server Address
Pre-shared Key
Username
Password

ให้ตรงกับ Router

แต่ระบบปฏิบัติการรุ่นใหม่บางรุ่นอาจลดหรือยกเลิกการรองรับ L2TP/IPsec แบบเดิม จึงต้องตรวจตัวเลือก VPN ของอุปกรณ์จริง

㉛ ตั้ง Client บน iPhone หรือ iPad

ความสามารถ VPN ใน iOS/iPadOS เปลี่ยนไปตาม Version

ควรตรวจว่าอุปกรณ์รองรับ VPN ประเภทที่ D-Link เปิดไว้หรือไม่

หาก L2TP แบบที่ต้องการไม่รองรับ ควรเลือก VPN Protocol ที่ทั้ง Router และ Client รองรับในปัจจุบันแทน

㉜ Client Type ต้องตรงกับ Server

หาก D-Link เปิด

L2TP/IPsec

แต่ Client ตั้งเป็น

IKEv2

หรือ VPN Type อื่น การเชื่อมต่อจะไม่สำเร็จ

ต้องตรวจ

Server Protocol
=
Client Protocol

㉝ Server Address ต้องถูกต้อง

Client ต้องใช้

Public IP

หรือ

DDNS Hostname

ของสำนักงาน

ไม่ควรใช้

192.168.10.1

เมื่อเชื่อมจาก Internet เพราะเป็น Private IP ภายใน

㉞ ทดสอบจาก 4G/5G

วิธีทดสอบที่ถูกต้องคือออกจาก Network สำนักงาน

เช่น

Notebook
↓
Mobile Hotspot
↓
4G/5G
↓
Internet
↓
D-Link VPN Server

อย่าทดสอบ Remote VPN จาก Wi-Fi ภายในอย่างเดียว

㉟ ตรวจว่า VPN ได้ IP หรือไม่

เมื่อ Connected แล้ว Client ควรได้รับ VPN IP เช่น

192.168.50.101

หากไม่มี IP หรือ Session หลุดทันที ให้ตรวจ

VPN Pool
Authentication
Server Configuration

㊱ Ping Gateway ภายใน

หลัง Connected ลอง Ping Router หรือ Server ภายในตาม Policy

ตัวอย่าง

ping 192.168.10.1

ถ้าผ่าน แสดงว่า VPN Tunnel และ Routing พื้นฐานอาจทำงานแล้ว

㊲ Ping Server ภายใน

จากนั้นทดสอบ

ping 192.168.40.10

ถ้า Gateway ได้แต่ Server ไม่ได้ ให้ตรวจ

Firewall
Route
Server Firewall

เพิ่มเติม

㊳ VPN Connected แต่เข้า LAN ไม่ได้

ตรวจ

VPN Client IP
Routing Table
Firewall Policy
LAN Subnet
Server Gateway

เพราะ Tunnel อาจ Connected แล้ว แต่ไม่มีเส้นทางหรือสิทธิ์ไป LAN

㊴ ตรวจ Return Route

Traffic ต้องเดินทางได้ทั้งสองทาง

ตัวอย่าง

VPN Client
→ Server

และ

Server
→ VPN Client

หาก Network มี Router หรือ Layer 3 Device หลายตัว ต้องตรวจว่า Network ภายในรู้เส้นทางกลับไปยัง VPN Client Pool

㊵ VPN Pool แยก Subnet ต้องมี Routing

สมมติ

VPN Pool:
192.168.50.0/24

แต่ Server อยู่

192.168.40.0/24

Gateway ของ Server หรือ Core Router ต้องรู้ว่าจะส่ง Traffic กลับ 192.168.50.0/24 ทางไหน หาก D-Link ไม่ได้เป็น Default Gateway โดยตรง

㊶ Subnet ซ้ำกันเป็นปัญหาใหญ่

ตัวอย่างบ้านพนักงาน

192.168.1.0/24

สำนักงานก็ใช้

192.168.1.0/24

Client อาจไม่รู้ว่า Destination 192.168.1.x อยู่ Local LAN หรือ VPN

จึงควรหลีกเลี่ยง Network ยอดนิยมซ้ำกัน หากกำลังออกแบบสำนักงานใหม่

㊷ ตัวอย่าง Office Network ที่ลดโอกาสชน

แทน

192.168.1.0/24

อาจออกแบบเป็น

192.168.50.0/24

192.168.60.0/24

หรือ Private Address Plan ตามมาตรฐานองค์กร

แต่ต้องวางแผนไม่ให้ชนกับ Site อื่น

㊸ DNS หลัง VPN Connected

บางครั้ง Ping IP ได้ แต่เปิดชื่อ Server ไม่ได้

ตัวอย่าง

ping 192.168.40.10
→ ได้

แต่

fileserver.office.local
→ ไม่ได้

อาจเป็นปัญหา DNS

ต้องตรวจว่า VPN Client ใช้ DNS Server ที่สามารถ Resolve ชื่อภายในได้

㊹ Split Tunnel คืออะไร

Split Tunnel ให้เฉพาะ Traffic สำหรับสำนักงานผ่าน VPN

ตัวอย่าง

192.168.10.0/24
→ VPN

192.168.40.0/24
→ VPN

ส่วนเว็บไซต์ทั่วไปออก Internet ของผู้ใช้เอง

ช่วยลด Bandwidth ผ่านสำนักงาน

㊺ Full Tunnel คืออะไร

Full Tunnel ส่ง Traffic Internet ของ Client ผ่านสำนักงาน

Client
↓
L2TP VPN
↓
D-Link
↓
Internet

ข้อดีคือควบคุม Traffic จากส่วนกลางได้มากขึ้น

แต่ต้องใช้

Office Upload/Download
VPN Throughput
Router CPU

มากกว่า Split Tunnel

㊻ VPN Connected แล้ว Internet หาย

หาก Client ใช้ Full Tunnel แต่ D-Link ไม่มี Policy/NAT สำหรับ VPN Client ออก WAN อาจเกิด

VPN Connected
แต่ Internet ใช้ไม่ได้

ต้องตรวจ

VPN Routing
NAT
Firewall
Default Gateway

㊼ Authentication Failed

ตรวจ

Username
Password
Pre-shared Key
Authentication Protocol

หาก Server ตอบกลับ Authentication Error แสดงว่า Client สามารถเข้าถึง VPN Server ได้ระดับหนึ่งแล้ว

จึงควรตรวจ Credential ก่อนแก้ Route

㊽ Pre-shared Key ผิด

ถ้า PSK ฝั่ง Client ไม่ตรงกับ D-Link การเจรจา IPsec จะไม่สำเร็จ

ต้องตรงกันทุกตัวอักษร

รวมถึง

ตัวพิมพ์ใหญ่
ตัวพิมพ์เล็ก
สัญลักษณ์

㊾ VPN ต่อไม่ได้หลังเปลี่ยน ISP

ตรวจ

Public IP
CGNAT
DDNS
Double NAT
Firewall

เพราะ Router Configuration อาจยังเหมือนเดิม แต่ Network ฝั่ง WAN เปลี่ยนไป

㊿ DDNS ชี้ IP เก่า

หาก VPN ใช้

vpn-office.example-ddns.net

แต่ Public IP เปลี่ยนและ DDNS ไม่ Update

Client จะพยายามเชื่อมไป IP เก่า

ตรวจ DDNS Status และ WAN IP ให้ตรงกัน

51. VPN ต่อได้ผ่าน Public IP แต่ DDNS ไม่ได้

กรณีนี้ VPN Server มีโอกาสทำงานปกติ

ให้เน้นตรวจ

DDNS
DNS Resolution
Hostname

แทนการเปลี่ยน VPN Server Configuration

52. VPN ต่อไม่ได้ผ่าน Wi-Fi บางแห่ง

Guest Network บางแห่งอาจ Block

UDP 500
UDP 4500
UDP 1701

หรือ Traffic VPN บางรูปแบบ

ถ้าใช้ Mobile Internet แล้วต่อได้ แต่ Public Wi-Fi ต่อไม่ได้ ปัญหาอาจอยู่ที่ Network ต้นทาง

53. Double NAT ทำให้ L2TP/IPsec มีปัญหาได้

ตัวอย่าง

Remote Client
↓
NAT
↓
Internet
↓
Router ISP
↓
NAT
↓
D-Link

NAT-T ช่วยได้ในหลายกรณี แต่ Configuration ซ้อนหลายชั้นทำให้ Troubleshooting ยากขึ้น

ควรลดจำนวน NAT Layer หากเป็นไปได้

54. ตรวจ VPN Log

Router ธุรกิจมักมี Log ที่ช่วยบอกสถานะ เช่น

L2TP Connection
IPsec Negotiation
Authentication Failed
Tunnel Established
Tunnel Disconnected

ใช้ Log ประกอบการหาปัญหาจะมีประสิทธิภาพกว่าการเดา

55. VPN หลุดเมื่อไม่มีการใช้งาน

ตรวจค่า

Idle Timeout

หากตั้งสั้นเกินไป Session อาจถูกตัดเมื่อไม่มี Traffic

ควรเลือกให้เหมาะกับลักษณะงานและ Security Policy

56. Router CPU มีผลกับ VPN

L2TP/IPsec ต้องมีการเข้ารหัสและถอดรหัส

Router รุ่นเล็กอาจมี VPN Throughput ต่ำกว่า WAN Speed มาก

ตัวอย่าง

Internet:
1000 Mbps

ไม่ได้หมายความว่า

VPN:
1000 Mbps

ต้องดูความสามารถ VPN ของ Hardware ด้วย

57. Upload สำนักงานสำคัญ

เมื่อ Remote User Download ไฟล์จากสำนักงาน ฝั่งสำนักงานใช้ Upload

ตัวอย่าง

Office Upload:
100 Mbps

หากมีผู้ใช้ VPN 10 คนพร้อมกัน ต้องแบ่ง Bandwidth นี้ร่วมกัน

ดังนั้น WAN Upload เป็นปัจจัยสำคัญต่อ Remote VPN Performance

58. ไม่ควรเปิด L2TP ถ้าไม่ใช้งาน

VPN Server เป็นบริการที่รับ Connection จาก Internet

หากองค์กรเลิกใช้ L2TP แล้ว ควร

Disable L2TP Server

และปิด Account/Policy ที่เกี่ยวข้อง

ช่วยลด Service ที่เปิดรับจากภายนอกโดยไม่จำเป็น

59. Checklist ตั้ง L2TP VPN บน D-Link

✓ Router รองรับ L2TP Server
✓ ตรวจ Public IP
✓ ตรวจ CGNAT
✓ ตั้ง DDNS หากจำเป็น
✓ เปิด L2TP Server
✓ ใช้ L2TP/IPsec หากรองรับ
✓ กำหนด VPN IP Pool
✓ IP Pool ไม่ชน DHCP
✓ สร้าง User แยกแต่ละคน
✓ Password แข็งแรง
✓ ตั้ง Pre-shared Key
✓ Firewall Policy ถูกต้อง
✓ VPN → LAN Allow ตามสิทธิ์
✓ ตรวจ Routing
✓ ตรวจ Return Route
✓ ทดสอบผ่าน 4G/5G
✓ ตรวจ VPN Log

60. ตัวอย่าง Configuration สำหรับสำนักงาน

สมมติมี

Office LAN:
192.168.10.0/24

Server VLAN:
192.168.40.0/24

VPN Pool:
192.168.50.100-150

DDNS:
vpn-office.example-ddns.net

สร้างผู้ใช้

user01
user02
user03

กำหนด

L2TP Server:
Enable

IPsec:
Enable

Pre-shared Key:
Strong Secret Key

VPN Client Pool:
192.168.50.100-150

จากนั้นสร้าง Firewall Policy

VPN Users
→ Office LAN
Allow

VPN Users
→ Server VLAN
Allow เฉพาะ Service ที่จำเป็น

VPN Users
→ CCTV VLAN
Deny

ยกเว้น Administrator

ฝั่ง Client ใช้

VPN Type:
L2TP/IPsec

Server:
vpn-office.example-ddns.net

Username:
user01

Password:
********

Pre-shared Key:
ตามที่กำหนด

จากนั้นทดสอบผ่าน Internet ภายนอกจริง

ข้อผิดพลาดที่พบบ่อย

ปัญหาที่พบได้บ่อย ได้แก่

• Router ไม่มี L2TP Server

• WAN อยู่หลัง CGNAT

• มี Double NAT

• DDNS ชี้ IP ผิด

• L2TP Server ยังไม่ Enable

• Client เลือก VPN Type ผิด

• Username/Password ผิด

• Pre-shared Key ไม่ตรง

• VPN Pool ชน DHCP

• Firewall ไม่อนุญาต VPN → LAN

• ไม่มี Return Route

• Subnet ฝั่ง Client ซ้ำกับสำนักงาน

• DNS ภายในไม่ทำงาน

• Router VPN Throughput ไม่เพียงพอ

สรุป

การตั้ง L2TP VPN บน Router D-Link ช่วยให้ Remote User เชื่อมต่อกลับมายังสำนักงานผ่าน VPN และเข้าถึง Server, NAS หรือระบบภายในตามสิทธิ์ที่กำหนด

หาก Router รองรับ ควรใช้ L2TP/IPsec แทน L2TP แบบไม่มีการเข้ารหัส พร้อมตั้ง VPN User แยกแต่ละคน ใช้ Password และ Pre-shared Key ที่แข็งแรง และเปิด Firewall เฉพาะ Network ที่ผู้ใช้งานจำเป็นต้องเข้าถึง

สิ่งที่ต้องตรวจตั้งแต่ก่อนเริ่มคือ Public IP และ CGNAT เพราะหาก D-Link ไม่สามารถรับ Connection จาก Internet ได้ การแก้ Username หรือ Firewall ภายในอย่างเดียวก็ไม่ทำให้ VPN ทำงาน

แนวทางของ comsiam คือ Troubleshoot ตามลำดับ Public IP → L2TP/IPsec → Authentication → VPN Client IP → Routing → Firewall → DNS จะช่วยหาสาเหตุได้เร็วและลดการเปลี่ยน Configuration แบบสุ่ม