วิธีตั้ง VPN Server บน D-Link ให้เชื่อมต่อเครือข่ายสำนักงานจากภายนอกได้อย่างปลอดภัย

การตั้ง VPN Server บน Router D-Link ช่วยให้พนักงานหรือผู้ดูแลระบบสามารถเชื่อมต่อจากอินเทอร์เน็ตกลับเข้ามายังเครือข่ายภายในบ้านหรือสำนักงานผ่าน Tunnel ที่เข้ารหัส โดยไม่จำเป็นต้องเปิดบริการภายในจำนวนมากออกสู่ Internet โดยตรง

เมื่อ VPN เชื่อมต่อสำเร็จ ผู้ใช้สามารถเข้าถึงทรัพยากรภายในตามสิทธิ์ เช่น Server, NAS, Printer, NVR หรือระบบงานต่าง ๆ ราวกับเชื่อมต่ออยู่ใน Network ของสำนักงาน

บทความนี้จาก comsiam จะอธิบายหลักการตั้ง VPN Server บน D-Link ตั้งแต่ตรวจสอบรุ่น Router, Public IP, DDNS, VPN Protocol, User Account, IP Pool, Firewall ไปจนถึงการทดสอบจาก 4G/5G และแก้ปัญหา VPN เชื่อมต่อไม่ได้

① VPN Server คืออะไร

VPN Server คืออุปกรณ์ที่รอรับการเชื่อมต่อ VPN จาก Client ภายนอก

โครงสร้างตัวอย่าง

Notebook พนักงาน
↓
Internet
↓
VPN Tunnel
↓
D-Link VPN Router
↓
Office LAN
↓
Server / NAS / NVR

เมื่อ Client ผ่านการ Authentication แล้ว Router จะอนุญาตให้เข้าถึง Network ภายในตาม Policy ที่กำหนด

② VPN Server ต่างจาก VPN Pass-through

สองฟังก์ชันนี้มีหน้าที่ต่างกัน

VPN Server

Remote User
↓
Internet
↓
D-Link
↓
Office LAN

D-Link เป็นปลายทางของ VPN

VPN Pass-through

LAN User
↓
D-Link
↓
Internet
↓
VPN Server ที่อื่น

D-Link เพียงอนุญาตให้ VPN Traffic ผ่านออกไป

หากต้องการให้พนักงานเข้ามายังสำนักงานจากภายนอก ต้องใช้ VPN Server หรือ VPN Gateway ไม่ใช่เปิด Pass-through อย่างเดียว

③ Router D-Link ทุกรุ่นทำ VPN Server ได้หรือไม่

ไม่

Router D-Link สำหรับบ้านหลายรุ่นอาจไม่มี VPN Server ในตัว หรือรองรับเพียงบาง Protocol

ฟังก์ชัน VPN Server แบบละเอียดมักพบในกลุ่ม Business VPN Router เช่น D-Link DSR บางรุ่น

ตัวอย่างความสามารถที่อาจพบ ได้แก่

IPsec Client-to-Site
L2TP Server
OpenVPN Server
PPTP Server
SSL VPN

ความสามารถจริงต้องตรวจตาม Model, Hardware Revision และ Firmware ของ Router ที่ใช้งาน

④ ตรวจรุ่น Router ก่อนเริ่ม

ให้ดู

Model
Hardware Version
Firmware Version

จาก Sticker ใต้เครื่องหรือหน้า Status

จากนั้นตรวจว่า Router มีเมนู

VPN

และรองรับ VPN Server ประเภทใด

อย่านำขั้นตอนจาก D-Link คนละตระกูลมาใช้โดยตรง เพราะ Interface และความสามารถอาจแตกต่างกันมาก

⑤ เลือก VPN Protocol ให้เหมาะสม

D-Link Business Router บางรุ่นรองรับหลายรูปแบบ เช่น

IPsec
L2TP
OpenVPN

รวมถึง Protocol รุ่นเก่าในบางรุ่น

การเลือกควรพิจารณา

Client ที่ต้องใช้งาน
ระบบปฏิบัติการ
Security Requirement
ความง่ายในการตั้งค่า
Firewall/NAT
Certificate หรือ Authentication ที่มี

ไม่ควรเลือก Protocol เพียงเพราะตั้งง่ายที่สุด

⑥ หลีกเลี่ยง PPTP หากมีทางเลือกใหม่กว่า

PPTP เป็นเทคโนโลยี VPN รุ่นเก่าและไม่เหมาะกับระบบที่ต้องการมาตรฐานความปลอดภัยสูงในปัจจุบัน

หาก Router รองรับตัวเลือกที่ทันสมัยกว่า เช่น

IPsec
L2TP/IPsec
OpenVPN

ควรพิจารณาใช้ตัวเลือกเหล่านั้นแทน

⑦ เตรียม Public IP

Remote Client ต้องสามารถหา Router D-Link จาก Internet ได้

ตัวอย่าง

Public IP:
203.0.113.50

Client จะใช้ Address นี้เป็น VPN Server Address

แต่ Internet บ้านจำนวนมากมี Public IP แบบ Dynamic จึงควรพิจารณา DDNS เพิ่มเติม

⑧ ใช้ DDNS ถ้า Public IP เปลี่ยน

แทนการใช้

203.0.113.50

สามารถสร้าง Hostname เช่น

vpn-office.example-ddns.net

จากนั้นให้ D-Link หรือ DDNS Client อัปเดต Public IP ให้อัตโนมัติ

VPN Client จึงใช้

vpn-office.example-ddns.net

เป็น Server Address ได้

⑨ ตรวจ CGNAT ก่อน

หาก ISP ใช้ CGNAT การรับ Incoming VPN Connection จาก Internet อาจไม่สามารถทำได้ด้วย Port Forwarding หรือ VPN Server บน Router เพียงอย่างเดียว

ตรวจ WAN IP ของ D-Link

หากอยู่ในช่วง เช่น

10.x.x.x

100.64.x.x - 100.127.x.x

172.16.x.x - 172.31.x.x

192.168.x.x

อาจมี NAT อยู่ด้านหน้า

⑩ เปรียบเทียบ WAN IP กับ Public IP

ตรวจ

WAN IP ใน Router

แล้วเปรียบเทียบกับ

Public IP ที่ Internet มองเห็น

หากไม่ตรงกัน อาจเกิดจาก

CGNAT

หรือ

Router อีกตัวอยู่ด้านหน้า

ควรแก้เรื่องนี้ก่อนใช้เวลาตั้ง VPN Server จำนวนมาก

⑪ ระวัง Double NAT

โครงสร้าง

Internet
↓
Router ISP
↓
D-Link VPN Router
↓
Office LAN

ทำให้ D-Link อยู่หลัง NAT อีกชั้น

ตัวอย่าง WAN ของ D-Link

192.168.1.2

ในกรณีนี้ VPN Connection จาก Internet ต้องผ่าน Router ISP ก่อนถึง D-Link

⑫ วิธีจัดการ Double NAT

แนวทางที่อาจใช้ได้ ได้แก่

Bridge Mode

หรือ

IP Passthrough

หรือกำหนด Port/Protocol ที่จำเป็นจาก Router ชั้นนอกมายัง D-Link

การใช้ Bridge Mode ทำให้ D-Link ได้ Public IP โดยตรงและบริหาร VPN ง่ายกว่าในหลายระบบ

⑬ เข้า Router D-Link

เชื่อมต่อกับ LAN ของ Router

เปิด Browser แล้วเข้า IP Management เช่น

192.168.0.1

หรือ

192.168.1.1

ตาม Configuration

จากนั้น Login ด้วยบัญชี Administrator

⑭ Backup Configuration ก่อนตั้ง VPN

ก่อนแก้ VPN, Firewall หรือ Routing ควร Backup Configuration

โดยเฉพาะ Router ที่ใช้งานในสำนักงานจริง

หากเกิดปัญหา สามารถย้อนกลับ Configuration เดิมได้ง่ายกว่า Factory Reset

⑮ เข้าเมนู VPN

ใน D-Link DSR บางรุ่นจะพบหมวด

VPN

แล้วมีเมนูย่อยตาม Protocol เช่น

IPsec
L2TP VPN
OpenVPN
PPTP

ชื่อเมนูจริงขึ้นอยู่กับ Firmware

⑯ ตัวอย่างตั้ง L2TP VPN Server

ใน DSR บางรุ่นสามารถเข้า

VPN
→ L2TP VPN
→ L2TP Server

แล้วเปิด

Enable L2TP Server

จากนั้นกำหนดค่าที่เกี่ยวข้อง เช่น

Routing Mode
Client IP Pool
Authentication
Secret Key
Idle Timeout

ตาม Network Design

⑰ กำหนด VPN Client IP Pool

VPN Client ที่เชื่อมเข้ามาต้องได้รับ IP Address

ตัวอย่าง

Starting IP:
192.168.50.100

Ending IP:
192.168.50.150

หรือใช้ช่วงที่ Router รุ่นนั้นรองรับ

ต้องวางแผนไม่ให้ IP Pool ชนกับ DHCP หรือ Static IP ที่ใช้งานอยู่

⑱ อย่าให้ VPN IP Pool ชนกับ DHCP

ตัวอย่าง DHCP LAN

192.168.10.100-200

ไม่ควรกำหนด VPN Pool ซ้ำ

192.168.10.150-220

โดยไม่วางแผน เพราะอาจเกิด Duplicate IP

ควรแบ่งช่วงให้ชัดเจน

⑲ ตัวอย่างการแบ่ง IP

เช่น

Office LAN:
192.168.10.0/24

กำหนด

DHCP:
192.168.10.100-199

และสงวน IP สำหรับระบบอื่นตาม Architecture

หาก VPN Router รองรับ VPN Pool แยก Subnet การใช้ Network แยกจะทำให้ Policy และ Troubleshooting ชัดเจนขึ้น

⑳ NAT Mode กับ Classical Routing

L2TP Server ใน D-Link DSR บาง Firmware สามารถเลือกรูปแบบ Routing เช่น

NAT

หรือ

Classical

การเลือกขึ้นอยู่กับว่า VPN Client ต้องถูก NAT หรือ Route เข้าสู่ LAN โดยตรง

สำหรับเครือข่ายธุรกิจควรวาง Routing และ Firewall ให้สัมพันธ์กับ Mode ที่เลือก

㉑ สร้าง VPN User Account

VPN Server ต้องมีวิธี Authentication ผู้ใช้งาน

ตัวอย่าง Account

Username:
user01

Password:
********

ควรสร้างบัญชีแยกตามผู้ใช้งาน

ไม่ควรให้พนักงานทั้งหมดใช้ Username/Password เดียวกัน

㉒ ทำไมควรแยกบัญชี VPN ต่อคน

ช่วยให้

ปิดสิทธิ์รายบุคคลได้
ตรวจสอบ Log ได้ง่าย
เปลี่ยน Password ราย User ได้
ลดผลกระทบเมื่อ Credential รั่ว
กำหนด Policy ราย User/Group ได้ในระบบที่รองรับ

เมื่อพนักงานออกจากองค์กรสามารถ Disable Account นั้นได้ทันที

㉓ ใช้ Password ที่แข็งแรง

VPN Account เปิดรับ Authentication จาก Internet จึงควรใช้ Password ที่

ยาว
ไม่ซ้ำระบบอื่น
เดายาก
ไม่ใช้ชื่อบริษัท
ไม่ใช้วันเกิด
ไม่ใช้ 123456

หากระบบรองรับ MFA หรือ Certificate ควรพิจารณาใช้เพิ่ม

㉔ Pre-shared Key คืออะไร

VPN บางประเภท เช่น L2TP/IPsec หรือ IPsec สามารถใช้

Pre-shared Key

หรือ Secret Key เพื่อยืนยัน Tunnel เพิ่มอีกชั้น

ตัวอย่างเชิงโครงสร้าง

VPN Client
↓
Pre-shared Key
+
User Authentication
↓
D-Link VPN Server

ควรใช้ Key ที่ยาวและไม่เปิดเผยต่อบุคคลที่ไม่เกี่ยวข้อง

㉕ อย่าใช้ Pre-shared Key ง่าย ๆ

ไม่ควรใช้

company
12345678
vpn1234
password

เพราะ VPN Gateway เปิดรับ Connection จาก Internet

ควรใช้ Key แบบสุ่มและมีความยาวเพียงพอ

㉖ Authentication Protocol

L2TP Server บางรุ่นสามารถรองรับ Authentication หลายแบบ เช่น

PAP
CHAP
MS-CHAP
MS-CHAPv2

ไม่ควรเปิด Protocol เก่าทั้งหมดโดยไม่มีความจำเป็น

ควรใช้ตัวเลือกที่ Client และ Security Policy ขององค์กรรองรับ

㉗ Local User Database คืออะไร

D-Link VPN Router สามารถมีฐานข้อมูล User อยู่ใน Router เองในบางรุ่น

ตัวอย่าง

Authentication:
Local User Database

เหมาะกับระบบขนาดเล็กที่มีผู้ใช้งานไม่มาก

องค์กรขนาดใหญ่อาจใช้ Authentication Server กลางหาก Router รองรับ

㉘ External Authentication

Router ธุรกิจบางรุ่นสามารถเชื่อม Authentication Service ภายนอก

ช่วยให้บริหาร User Account จากส่วนกลาง

อย่างไรก็ตามต้องตรวจความสามารถของ Router และระบบ Authentication ที่องค์กรใช้งาน

㉙ ตั้ง Idle Timeout

Idle Timeout ใช้ตัด VPN Session ที่ไม่มี Traffic เป็นเวลานาน

ตัวอย่าง

Idle Timeout:
900 seconds

ช่วยลด Session ที่เปิดทิ้งไว้โดยไม่จำเป็น

ค่าที่เหมาะสมขึ้นอยู่กับลักษณะงาน

㉚ IPsec Client-to-Site คืออะไร

IPsec Client-to-Site ใช้ให้ Remote Client เชื่อมเข้ามายัง VPN Gateway

โครงสร้าง

Remote Laptop
↓
IPsec Tunnel
↓
D-Link DSR
↓
Office Network

แตกต่างจาก Site-to-Site ที่เชื่อม Router ระหว่างสำนักงานสองแห่ง

㉛ IPsec Site-to-Site ไม่ใช่ Remote User VPN

Site-to-Site มีโครงสร้าง

Office A Router
↓
IPsec VPN
↓
Office B Router

ผู้ใช้ภายในทั้งสองฝั่งสามารถติดต่อกันผ่าน Tunnel

ส่วน Remote User VPN เป็น

Laptop
↓
VPN
↓
Office Router

ต้องเลือกประเภท VPN Policy ให้ตรงกับวัตถุประสงค์

㉜ OpenVPN Server

D-Link Business Router บางรุ่น เช่น DSR-250V2 รองรับ OpenVPN Server

โดยทั่วไปจะต้องตั้ง

OpenVPN Server
User/Authentication
Client Configuration
Certificate/Key
VPN Network

ตาม Firmware

จากนั้นนำ Client Profile ไปติดตั้งบนอุปกรณ์ผู้ใช้

㉝ ข้อดีของ Client Configuration File

VPN บางระบบสามารถ Export Configuration สำหรับ Client

ช่วยลดการกรอก

Server
Port
Certificate
Encryption
Route

ด้วยตนเอง

ควรเก็บ Profile เหล่านี้อย่างปลอดภัย เพราะอาจมีข้อมูลที่ใช้ในการเชื่อม VPN

㉞ SSL VPN คืออะไร

Router D-Link DSR บางตระกูล/รุ่นหรือ Firmware อาจรองรับ SSL VPN

SSL VPN ใช้เทคโนโลยี TLS/SSL เพื่อสร้าง Secure Remote Access

เหมาะสำหรับ Remote User ในระบบที่ Router รองรับ

รายละเอียดจะต่างจาก L2TP และ IPsec อย่างชัดเจน จึงควรตั้งตามคู่มือรุ่นนั้นโดยเฉพาะ

㉟ ตั้ง Firewall ให้ VPN เข้า LAN

แม้ VPN Tunnel เชื่อมต่อสำเร็จ Client อาจยังเข้า Server ไม่ได้ หาก Firewall ไม่อนุญาต

ตัวอย่าง Policy

VPN Users
→ Server VLAN
Allow

หรือ

VPN Users
→ Office LAN
Allow เฉพาะ Service ที่จำเป็น

ไม่จำเป็นต้อง Allow ทุก Network

㊱ ใช้หลัก Least Privilege

ถ้าพนักงานต้องเข้าเพียง File Server ไม่ควรให้ VPN User เข้า

CCTV
Management VLAN
Router Administration
Database

ทั้งหมดโดยอัตโนมัติ

ควรเปิดเฉพาะ Network และ Service ที่จำเป็น

㊲ ตัวอย่าง VPN Policy สำหรับพนักงาน

สมมติ

Staff VPN Pool:
192.168.50.0/24

ต้องเข้าถึง

File Server:
192.168.40.10

สามารถอนุญาต

VPN Pool
→ 192.168.40.10
→ Required Services
→ Allow

แล้ว Deny Network อื่นตามนโยบาย

㊳ VPN กับ VLAN ใช้ร่วมกันได้

ตัวอย่าง

VLAN 10 → Staff
VLAN 20 → Guest
VLAN 30 → CCTV
VLAN 40 → Server

VPN User อาจได้รับสิทธิ์

VPN → Staff
Allow

VPN → Server
Allow

VPN → Guest
ไม่จำเป็น

VPN → CCTV
เฉพาะ Admin

ทำให้ Security Policy ชัดเจนขึ้น

㊴ VPN กับ Management VLAN

ผู้ดูแลระบบสามารถใช้ VPN เพื่อเข้าถึง Management VLAN จากภายนอก

โครงสร้าง

Administrator
↓
VPN
↓
D-Link
↓
Management VLAN
↓
Switch / AP / Server

ปลอดภัยกว่าการเปิด Web Management ของอุปกรณ์เหล่านี้ตรงออก Internet

㊵ ไม่ควรเปิดหน้า Admin Router ออก Internet โดยตรง

ถ้ามี VPN Server แล้ว แนวทางที่ดีกว่าคือ

Internet
↓
VPN
↓
LAN
↓
Router Management

แทน

Internet
↓
Router Admin Port

โดยตรง

ช่วยลด Exposure ของ Management Interface

㊶ ตรวจ Routing หลัง VPN Connected

VPN Client ต้องมี Route ไป Network ที่ต้องการ

ตัวอย่าง

Office Network:
192.168.40.0/24

Client ต้องรู้ว่า Traffic ไป Network นี้ต้องผ่าน VPN Tunnel

ถ้าไม่มี Route ถึงแม้ VPN แสดง Connected ก็อาจเข้า Server ไม่ได้

㊷ Split Tunnel

Split Tunnel ให้เฉพาะ Network บริษัทผ่าน VPN

ตัวอย่าง

192.168.10.0/24
→ VPN

192.168.40.0/24
→ VPN

ส่วน Internet ทั่วไปออก Local Internet ของผู้ใช้

ช่วยลด Bandwidth ผ่านสำนักงาน

㊸ Full Tunnel

Full Tunnel ส่ง Internet Traffic ของ Client ผ่านสำนักงานด้วย

Remote Client
↓
VPN
↓
Office D-Link
↓
Internet

ช่วยควบคุม Traffic จากส่วนกลางได้มากขึ้น แต่ต้องใช้ WAN Bandwidth และ Router Performance เพิ่ม

㊹ Subnet ของบ้านกับสำนักงานห้ามซ้ำถ้าเป็นไปได้

สมมติบ้านผู้ใช้เป็น

192.168.1.0/24

และ Office LAN ก็เป็น

192.168.1.0/24

VPN Client อาจเกิด Route Conflict

จึงควรออกแบบสำนักงานด้วย Network ที่พบซ้ำน้อยกว่า เช่น

192.168.50.0/24

หรือ Address Plan ที่องค์กรกำหนด

㊺ ทดสอบ VPN จาก Network ภายนอก

อย่าทดสอบเฉพาะ Wi-Fi ภายในสำนักงาน

ใช้โทรศัพท์

ปิด Wi-Fi
↓
เปิด 4G/5G
↓
Hotspot ให้ Notebook

จากนั้นเชื่อม VPN ไปยัง Public IP หรือ DDNS ของสำนักงาน

เป็นการทดสอบ Remote Access จริง

㊻ VPN Server Address

Client สามารถใช้

Public IP

หรือ

DDNS Hostname

ตัวอย่าง

vpn-office.example-ddns.net

หากใช้ Dynamic Public IP การใช้ DDNS จะสะดวกกว่า

㊼ VPN Connect ไม่ได้ควรตรวจอะไร

ตรวจตามลำดับ

1. Internet สำนักงานทำงานหรือไม่
2. Router ได้ Public IP หรือไม่
3. มี CGNAT หรือไม่
4. DDNS ชี้ IP ถูกหรือไม่
5. VPN Server Enable หรือไม่
6. Protocol Client ตรงกับ Server หรือไม่
7. User/Password ถูกหรือไม่
8. Secret/Certificate ถูกหรือไม่
9. Firewall Block หรือไม่
10. Double NAT หรือไม่

㊽ Authentication Failed

หาก VPN Server ตอบสนองแต่ขึ้น Authentication Failed ให้ตรวจ

Username
Password
Pre-shared Key
Certificate
Authentication Method

ก่อนแก้ Routing

เพราะ Client สามารถไปถึง VPN Server แล้ว แต่การยืนยันตัวตนไม่ผ่าน

㊾ VPN Connected แต่เข้า Server ไม่ได้

ตรวจ

VPN Client IP
Route
Firewall Policy
Server Firewall
Subnet
Default Gateway
DNS

นี่มักเป็นปัญหาหลัง Tunnel มากกว่าปัญหาการสร้าง VPN

㊿ VPN Connected แต่เปิดชื่อ Server ไม่ได้

สมมติ Ping

192.168.40.10

ได้

แต่เปิด

fileserver.office.local

ไม่ได้

มีโอกาสเป็นปัญหา DNS

ควรตรวจว่า VPN Client ได้รับ DNS Server ขององค์กรหรือมี Route ไป DNS Server ถูกต้อง

51. VPN หลุดบ่อย

สาเหตุอาจมาจาก

Internet ผู้ใช้ไม่เสถียร
WAN สำนักงานไม่เสถียร
Wi-Fi Client อ่อน
Idle Timeout
Router CPU สูง
VPN Rekey
NAT Timeout
ISP เปลี่ยน Connection

ควรตรวจ Log ของ VPN Server ประกอบ

52. ตรวจ VPN Log

Router ธุรกิจมักมี System Log หรือ VPN Log

ควรตรวจข้อความ เช่น

Authentication
IKE Negotiation
Tunnel Up
Tunnel Down
Connection Timeout

ช่วยหาสาเหตุได้ดีกว่าการเดาจากอาการเพียงอย่างเดียว

53. จำกัดจำนวน VPN Users

Router แต่ละรุ่นมีข้อจำกัดจำนวน VPN Tunnel และ Throughput

หากมีพนักงานจำนวนมาก ต้องตรวจ

Concurrent VPN Tunnels
VPN Throughput
CPU
RAM
WAN Speed

ด้วย

Router ที่รองรับผู้ใช้ 5–10 คนอาจไม่เหมาะกับองค์กรที่ต้อง Remote พร้อมกันจำนวนมาก

54. VPN Throughput สำคัญอย่างไร

สมมติ Internet สำนักงานเป็น

1000/1000 Mbps

ไม่ได้หมายความว่า VPN จะได้ 1000 Mbps

VPN ต้องเข้ารหัส/ถอดรหัส ซึ่งขึ้นอยู่กับ CPU และ Hardware Acceleration ของ Router

จึงต้องดู VPN Throughput ของรุ่นนั้นโดยเฉพาะ

55. Upload ของสำนักงานสำคัญมาก

เมื่อ Remote User ดาวน์โหลดไฟล์จากสำนักงาน

Traffic จะออกทาง

Office Upload

ตัวอย่างสำนักงานมี Upload

100 Mbps

ผู้ใช้ VPN หลายคนต้องแบ่ง Bandwidth นี้ร่วมกัน

จึงควรพิจารณา Upload Speed เมื่อติดตั้ง Remote Access VPN

56. ใช้ QoS กับ VPN ได้หรือไม่

Router บางระบบสามารถกำหนด Priority ให้ VPN Traffic

เหมาะกับสำนักงานที่มี

Video Conference
CCTV Upload
Cloud Backup
VPN

ทำงานพร้อมกัน

แต่ควรจัด Priority ให้สมดุล ไม่ใช่กำหนดทุกระบบเป็น Highest

57. อัปเดต Firmware ก่อนเปิด VPN ระยะยาว

VPN Gateway เป็นบริการที่รับ Connection จาก Internet จึงควรใช้ Firmware ที่เหมาะสมและยังได้รับการแก้ไขด้าน Security ตามรุ่น

ก่อน Update ต้องตรวจ

Model
Hardware Revision
Firmware Region

และ Backup Configuration

58. ปิด VPN Protocol ที่ไม่ใช้งาน

ถ้าใช้เฉพาะ

IPsec

ไม่จำเป็นต้องเปิด

PPTP
L2TP
OpenVPN

ทั้งหมดโดยไม่มีเหตุผล

เปิดเฉพาะบริการที่องค์กรใช้งานจริง จะช่วยลดพื้นที่โจมตีและทำให้ดูแล Configuration ง่ายขึ้น

59. Checklist ตั้ง VPN Server บน D-Link

✓ Router รองรับ VPN Server
✓ เลือก VPN Protocol แล้ว
✓ Router ได้ Public IP
✓ ไม่มี CGNAT หรือจัดการเรียบร้อย
✓ DDNS ทำงานถ้าจำเป็น
✓ เปิด VPN Server
✓ สร้าง VPN User
✓ ตั้ง Password/Secret แข็งแรง
✓ กำหนด Client IP Pool
✓ IP Pool ไม่ชน DHCP
✓ ตั้ง Firewall Policy
✓ กำหนด Network ที่ VPN เข้าถึงได้
✓ ตรวจ Routing
✓ Save/Apply
✓ ทดสอบผ่าน 4G/5G
✓ ตรวจ VPN Log

60. ตัวอย่างโครงสร้าง VPN สำหรับสำนักงาน

สมมติ

D-Link VPN Router

Public IP:
203.0.113.50

DDNS:
vpn-office.example-ddns.net

Office LAN:
192.168.10.0/24

Server VLAN:
192.168.40.0/24

VPN Users:
user01
user02
user03

กำหนด Policy เช่น

VPN Users
→ Office LAN
Allow

VPN Users
→ Server VLAN
Allow เฉพาะ Service ที่จำเป็น

VPN Users
→ Guest VLAN
Deny

VPN Users
→ CCTV
Deny ยกเว้น Administrator

จากภายนอก

Notebook
↓
Internet
↓
vpn-office.example-ddns.net
↓
VPN Authentication
↓
D-Link
↓
Office Network

เป็นโครงสร้าง Remote Access ที่สามารถควบคุมสิทธิ์ได้เป็นระบบ

ข้อผิดพลาดที่พบบ่อย

ปัญหาที่พบได้บ่อย ได้แก่

Router รุ่นนั้นไม่มี VPN Server
WAN อยู่หลัง CGNAT
มี Double NAT
DDNS ชี้ IP เก่า
Protocol Client กับ Server ไม่ตรง
Username/Password ผิด
Pre-shared Key ผิด
VPN IP Pool ชน DHCP
Firewall ไม่อนุญาต VPN → LAN
ไม่มี Route ไป Remote Network
Subnet บ้านกับสำนักงานซ้ำกัน
DNS ไม่ถูกส่งให้ Client
เปิด VPN Protocol เก่าที่ไม่จำเป็น
Router มี VPN Throughput ไม่พอกับจำนวนผู้ใช้

สรุป

การตั้ง VPN Server บน D-Link ช่วยให้ผู้ใช้งานจากภายนอกเชื่อมเข้ามายังเครือข่ายบ้านหรือสำนักงานผ่าน Secure Tunnel และสามารถเข้าถึง Server, NAS, NVR หรือระบบภายในตามสิทธิ์ที่กำหนด

ขั้นตอนสำคัญคือเลือก Router ที่รองรับ VPN Server ตรวจ Public IP และ CGNAT ตั้ง DDNS หาก IP เปลี่ยน จากนั้นเปิด VPN Server สร้าง User กำหนด IP Pool และ Firewall Policy ให้ถูกต้อง

สำหรับระบบธุรกิจ ไม่ควรเปิด VPN แล้วอนุญาตทุก Network โดยอัตโนมัติ ควรใช้หลัก Least Privilege และเปิดเฉพาะ Service ที่ผู้ใช้ต้องการจริง

แนวทางของ comsiam คือให้ตรวจ Public IP → VPN Server → Authentication → Client IP → Routing → Firewall ตามลำดับ หาก VPN Connect ได้แล้วแต่เข้า Server ไม่ได้ จะช่วยระบุได้ทันทีว่าปัญหาอยู่หลัง Tunnel ไม่ใช่ที่การเชื่อมต่อ VPN เอง