เจาะลึก Tailscale: อุปกรณ์เชื่อมต่อกันตรงๆ ได้อย่างไร

VPN แบบเดิมเป็นรูปดาว อุปกรณ์ทุกเครื่องต่อเข้าเซิร์ฟเวอร์ VPN ตัวเดียว ถ้าอุปกรณ์จะคุยกัน ข้อมูลต้องวิ่งไปที่เซิร์ฟเวอร์ก่อนแล้วค่อยวกกลับมา เซิร์ฟเวอร์จึงเป็นทั้งคอขวดและจุดล้มจุดเดียว มันช้า ทุกคนก็ช้า มันล่ม ทุกคนก็หลุด

Tailscale เป็นแบบตาข่าย (mesh) อุปกรณ์ทุกคู่มีอุโมงค์ตรงถึงกัน มือถือเข้า NAS ที่บ้าน ข้อมูลวิ่งจากมือถือไป NAS ตรงๆ ตามเส้นทางที่สั้นที่สุดระหว่างสองเครื่อง ไม่มีเครื่องไหนต้องแบกข้อมูลทั้งหมด

ราคาที่ต้องจ่ายของแบบตาข่ายคือการจัดการที่ซับซ้อน อุปกรณ์สิบเครื่องเชื่อมกันทุกคู่ก็คือสี่สิบห้าอุโมงค์ แต่ละอุโมงค์ต้องแลกกุญแจและต้องรู้ที่อยู่ปัจจุบันของอีกฝ่าย ดูแลด้วยมือไม่ไหว งานทั้งหมดของ Tailscale คือทำเรื่องนี้ให้เป็นอัตโนมัติ

เมื่อติดตั้ง Tailscale อุปกรณ์แต่ละเครื่องจะสร้างกุญแจคู่หนึ่งขึ้นเอง กุญแจส่วนตัวอยู่บนเครื่องตลอดไป ส่วนกุญแจสาธารณะส่งให้เซิร์ฟเวอร์ควบคุม (Tailscale เรียกว่า coordination server) เมื่อคุณล็อกอินบัญชี เซิร์ฟเวอร์ควบคุมก็รู้ว่า “เครื่องนี้เป็นของใคร”

เซิร์ฟเวอร์ควบคุมถือตารางหนึ่งไว้ ประกอบด้วยกุญแจสาธารณะของแต่ละเครื่อง ที่อยู่ภายในที่ได้รับ ที่อยู่เครือข่ายที่ใช้ติดต่อเครื่องนั้นได้ตอนนี้ และกฎที่บอกว่าใครต่อหาใครได้ มันส่งเฉพาะแถวที่คุณมีสิทธิ์เข้าถึงไปให้อุปกรณ์ของคุณ เมื่อมีเครื่องไหนออนไลน์ ออฟไลน์ หรือเปลี่ยนเครือข่าย ตารางก็อัปเดตแล้วส่งต่อให้เครื่องที่เกี่ยวข้อง

เซิร์ฟเวอร์ควบคุมไม่ส่งต่อข้อมูลของคุณ และไม่มีกุญแจส่วนตัว จึงถอดรหัสการสื่อสารระหว่างอุปกรณ์ไม่ได้ ให้นึกถึงพนักงานต้อนรับที่มีหน้าที่แค่แจกสมุดรายชื่อกับบัตรผ่านประตู บอกว่าอีกฝ่ายอยู่ไหนและคุณเข้าได้ไหม แต่พอเข้าห้องไปแล้วคุยอะไรกัน เขาไม่ได้อยู่ในห้องด้วย

การล็อกอินใช้ระบบบัญชีที่คุณมีอยู่แล้ว (single sign-on) ไม่ได้ตั้งรหัสผ่าน VPN แยกอีกชุด กุญแจของอุปกรณ์หมดอายุเป็นระยะและต้องล็อกอินยืนยันใหม่ ถ้าเครื่องหาย ลบออกในหน้าจัดการก็จะหมดสิทธิ์เข้าถึงทันที

ตัวที่ส่งข้อมูลจริงคือ WireGuard เมื่ออุปกรณ์ได้กุญแจสาธารณะของเครื่องอื่นแล้ว ก็สร้างอุโมงค์เข้ารหัสถึงเครื่องนั้นได้ ปลายอุโมงค์ทั้งสองข้างยืนยันกุญแจสาธารณะของกันและกัน คนตรงกลางอ่านไม่ได้และแก้ไม่ได้

Tailscale ไม่ได้แก้ส่วนการเข้ารหัสของ WireGuard สิ่งที่มันทำคือเรื่องที่ WireGuard ไม่ได้จัดการเอง ได้แก่ แจกกุญแจอย่างไร แจกที่อยู่อย่างไร และเมื่ออุปกรณ์เปลี่ยนเครือข่ายจะหากันเจอใหม่อย่างไร หลักการของ WireGuard ดูที่ WireGuard คืออะไร: หลักการทำงานและประวัติความเป็นมา

อุปกรณ์แต่ละเครื่องมีที่อยู่ภายในแบบคงที่ในเครือข่ายนี้ (ช่วงที่ขึ้นต้นด้วย 100) ไม่ว่าจะต่อเน็ตบ้าน เน็ตบริษัท หรือเน็ตมือถือ ที่อยู่นี้ก็ไม่เปลี่ยน คุณจึงเข้า NAS ที่บ้านด้วยที่อยู่เดิมได้ตลอด ถ้าเปิด MagicDNS ด้วยก็เรียกด้วยชื่อเครื่องได้เลย

คอมพิวเตอร์ที่บ้านไม่มีที่อยู่สาธารณะ เวลาออกเน็ตต้องผ่านเราเตอร์ที่แปลงที่อยู่ให้ (NAT) เราเตอร์ยอมให้ผ่านเฉพาะการเชื่อมต่อที่ “ข้างในเริ่มก่อน” ใครจากข้างนอกมาเคาะประตูเองจะถูกกันไว้หมด เมื่ออุปกรณ์ทั้งสองต่างอยู่หลังเราเตอร์ของตัวเอง ไม่มีใครเคาะประตูอีกฝ่ายได้ก่อน นี่คือความยากของการเชื่อมต่อแบบจุดต่อจุด

Tailscale แก้ด้วยสามขั้น ขั้นแรก อุปกรณ์แต่ละเครื่องถามเซิร์ฟเวอร์บนอินเทอร์เน็ตว่า “คุณเห็นฉันออกมาจากที่อยู่และพอร์ตไหน” จะได้รู้ว่าตัวเองหน้าตาเป็นอย่างไรเมื่อมองจากนอกเราเตอร์ (บริการแบบนี้เรียกว่า STUN) ขั้นที่สอง อุปกรณ์ทั้งสองแลกที่อยู่ภายนอกนี้กันผ่านเซิร์ฟเวอร์ควบคุม ขั้นที่สาม ทั้งสองฝั่งส่งแพ็กเก็ตไปที่ที่อยู่ภายนอกของอีกฝ่ายพร้อมกัน เราเตอร์แต่ละฝั่งเห็นว่า “ข้างในส่งออกไปก่อน” จึงเปิดช่องให้ขากลับ แพ็กเก็ตของทั้งสองฝั่งเข้ามาทางช่องนั้นพอดี การเชื่อมต่อก็สำเร็จ นี่คือที่เรียกกันว่า “เจาะรู” (hole punching)

การเจาะรูใช้ UDP เราเตอร์บ้านส่วนใหญ่เจาะได้ แต่บางเครือข่ายแปลงที่อยู่แบบเข้มงวดมาก (ต่อปลายทางใหม่ทีไรก็เปลี่ยนพอร์ตภายนอกใหม่ทุกที) หรือบล็อก UDP ไปเลย กรณีนี้จะเจาะไม่ได้

การเจาะรูไม่ได้สำเร็จทุกครั้ง Tailscale จึงเตรียมเซิร์ฟเวอร์ relay ไว้ชุดหนึ่ง เรียกว่า DERP ถ้าอุปกรณ์สองเครื่องยังต่อตรงไม่ได้ ก็ต่อเข้า DERP ตัวเดียวกันแล้วให้มันส่งแพ็กเก็ตที่เข้ารหัสแล้วต่อให้อีกฝ่าย DERP ใช้ HTTPS (TCP 443) ซึ่งแทบทุกเครือข่ายยอมให้ผ่าน

relay ส่งต่อแพ็กเก็ตที่ WireGuard เข้ารหัสไว้แล้ว DERP ไม่มีกุญแจ เห็นได้แค่ว่า “ใครส่งให้ใคร ขนาดเท่าไร” ไม่เห็นเนื้อหา

การเชื่อมต่อเริ่มจาก relay เสมอ พออุปกรณ์สองเครื่องออนไลน์ก็คุยกันผ่าน DERP ก่อน เพื่อให้ใช้ได้ทันที ขณะเดียวกันก็ลองเจาะรูอยู่เบื้องหลัง พอต่อตรงสำเร็จก็สลับไปเงียบๆ โดยการเชื่อมต่อไม่หลุด ดังนั้นการที่ไม่กี่วินาทีแรกหลังเชื่อมต่อมีความหน่วงสูงแล้วค่อยลดลง จึงเป็นเรื่องปกติ

ถ้าค้างอยู่บน relay ตลอด ความเร็วและความหน่วงจะขึ้นกับว่า relay ตัวนั้นอยู่ไกลแค่ไหนและยุ่งแค่ไหน ปกติจะช้ากว่าต่อตรง ในไคลเอนต์ Tailscale ดูได้ว่าการเชื่อมต่อตอนนี้เป็นแบบต่อตรง (direct) หรือผ่าน relay (relay)

• exit node (โหนดทางออก): เมื่อกำหนดให้เครื่องหนึ่งเป็นทางออก ข้อมูลออกเน็ตทั้งหมดของอุปกรณ์เครื่องอื่นจะถูกเข้ารหัสส่งไปที่เครื่องนั้นก่อน แล้วออกเน็ตจากเครือข่ายของมัน ผลเหมือน VPN แบบเดิม คือภายนอกเห็นที่อยู่ของ exit node ซึ่งอาจเป็นคอมพิวเตอร์ที่บ้านของคุณเอง หรือเซิร์ฟเวอร์ที่ผู้ให้บริการจัดไว้ให้ก็ได้
• subnet router (เราเตอร์ซับเน็ต): ให้อุปกรณ์ที่ลง Tailscale ไว้เครื่องหนึ่งทำหน้าที่แทนทั้งเครือข่าย LAN ที่มันอยู่ เครื่องพิมพ์ กล้อง NAS รุ่นเก่า ที่ลง Tailscale ไม่ได้ ก็เข้าถึงได้ผ่านเครื่องนี้
• การควบคุมสิทธิ์ (ACL): ค่าเริ่มต้นคืออุปกรณ์ทุกเครื่องของคุณเข้าถึงกันได้หมด ถ้าใช้เป็นทีมก็เขียนกฎได้ว่าใคร อุปกรณ์ไหน เข้าพอร์ตไหนได้บ้าง กฎส่งมาจากเซิร์ฟเวอร์ควบคุม แล้วแต่ละเครื่องบังคับใช้เอง
• MagicDNS: ตั้งชื่อให้อุปกรณ์แต่ละเครื่อง ไม่ต้องจำที่อยู่ที่ขึ้นต้นด้วย 100

• กับ WireGuard: WireGuard คือโปรโตคอลของอุโมงค์หนึ่งเส้น ดูแลแค่ว่าปลายสองข้างสื่อสารแบบเข้ารหัสอย่างไร กุญแจของแต่ละฝั่งและที่อยู่ของอีกฝ่ายคุณต้องตั้งเอง Tailscale คือระบบทั้งชุดที่สร้างบนมัน ทำเรื่องล็อกอิน แจกกุญแจ แจกที่อยู่ เจาะ NAT และ relay ให้คุณ
• กับบริการ VPN แบบเดิม: VPN แบบเดิมคือ “ข้อมูลทั้งหมดไปที่เซิร์ฟเวอร์เดียว” จุดเน้นอยู่ที่การเปลี่ยนทางออก ส่วน Tailscale เน้นที่ “อุปกรณ์เข้าถึงกันได้” การเปลี่ยนทางออกเป็นแค่ฟีเจอร์เสริม (exit node)
• กับเครื่องมือเปิดพอร์ตเข้าเครือข่ายภายใน (เช่น frp, Oray/Peanut Shell): เครื่องมือพวกนี้เปิดพอร์ตหนึ่งในเครือข่ายภายในออกสู่อินเทอร์เน็ต ใครรู้ที่อยู่ก็เข้ามาได้ ความปลอดภัยขึ้นกับตัวบริการนั้นเอง Tailscale ไม่เปิดพอร์ตใดๆ ออกไป มีแต่อุปกรณ์ที่ล็อกอินในชื่อคุณเท่านั้นที่เข้ามาได้
• กับ ZeroTier: แนวคิดใกล้กัน คือสร้างเครือข่ายให้อัตโนมัติ ZeroTier ใช้โปรโตคอลของตัวเองและจำลองเครือข่ายชั้นที่ 2 ส่วน Tailscale ใช้ WireGuard และทำงานที่ชั้นที่ 3

ไคลเอนต์ของ Tailscale เป็นโอเพนซอร์ส ส่วนเซิร์ฟเวอร์ควบคุมเป็นบริการที่บริษัท Tailscale ดำเนินการ Headscale คือเซิร์ฟเวอร์ควบคุมแบบโอเพนซอร์สที่ชุมชนเขียนขึ้น ใช้โปรโตคอลชุดเดียวกัน และไคลเอนต์ทางการเปลี่ยนไปต่อกับมันได้ รายชื่ออุปกรณ์ สารบบกุญแจ และกฎการเข้าถึง จึงอยู่ในมือคุณเอง

ตัวเลือก “Use custom server / Use an alternate server” (ใช้เซิร์ฟเวอร์ควบคุมที่กำหนดเอง) ในไคลเอนต์มีไว้เพื่อการนี้ ใส่ที่อยู่ลงไป ไคลเอนต์ก็จะไม่ต่อเซิร์ฟเวอร์ของบริษัท Tailscale แต่ต่อเครื่องที่คุณระบุแทน

เมื่อใช้เซิร์ฟเวอร์ควบคุมของคนอื่น วิธีล็อกอิน จำนวนอุปกรณ์ที่ต่อได้ และมี exit node อะไรบ้าง จะขึ้นกับผู้ดูแลเซิร์ฟเวอร์ควบคุมนั้น ไม่เกี่ยวกับโควตาฟรีหรือแพ็กเกจเสียเงินของ Tailscale ทางการ

• การเจาะรูพึ่ง UDP เน็ตบ้านในจีนจำนวนมากจำกัดความเร็ว UDP และเครือข่ายภายในขนาดใหญ่ของค่ายเน็ต (แปลงที่อยู่หลายชั้น) ก็ทำให้เจาะรูสำเร็จยากขึ้น โอกาสที่จะต้องผ่าน relay จึงสูงกว่าในต่างประเทศ
• เมื่อผ่าน relay ความเร็วขึ้นกับว่า relay อยู่ที่ไหน relay อยู่ไกล ความหน่วงก็สูง นี่คือเหตุผลหลักที่ประสบการณ์ใช้ Tailscale ในจีนต่างกันมาก
• รูปแบบแพ็กเก็ตของ WireGuard ตายตัวและไม่ได้พรางตัว บนเครือข่ายที่ตรวจเข้ม อาจถูกตรวจจับและจำกัดความเร็ว มันเป็นเครื่องมือสร้างเครือข่าย ไม่ได้ออกแบบมาเพื่อหลบการบล็อก
• เปิดค้างไว้บนมือถือได้ไม่มีปัญหา อุโมงค์ที่ไม่มีข้อมูลวิ่งแทบไม่กินแบต และเมื่อสลับระหว่าง Wi‑Fi กับเน็ตมือถือ การเชื่อมต่อจะกลับมาเอง

หมวด “ส่วนตัว” ของ LeoTun ใช้ไคลเอนต์ทางการของ Tailscale ต่อเข้ากับเซิร์ฟเวอร์ควบคุมที่เราดูแลเอง คุณล็อกอินด้วยบัญชีของเว็บนี้ครั้งเดียว อุปกรณ์ก็ออนไลน์อยู่ตลอด เรามี exit node ในหลายภูมิภาค เลือกภูมิภาคในเมนู Exit Node ของไคลเอนต์ก็เปลี่ยนทางออกได้ ไม่ต้องนำเข้าการตั้งค่าใหม่ มือถือ คอมพิวเตอร์ และ NAS ในบัญชีเดียวกันเข้าถึงกันได้ตรงๆ

เพราะล็อกอินกับเซิร์ฟเวอร์ควบคุมของเว็บนี้ จำนวนอุปกรณ์จึงนับตามแพ็กเกจบัญชีของเว็บนี้ ไม่เกี่ยวกับบัญชีหรือโควตาของ Tailscale ทางการ ถ้าเครื่องเคยล็อกอินบัญชี Tailscale ทางการไว้ ต้องออกจากระบบก่อนแล้วค่อยล็อกอินบัญชีของเว็บนี้ ขั้นตอนติดตั้งและล็อกอินแบบมีภาพดูที่ ส่วนตัว (Tailscale) คืออะไร และทางเข้าอยู่ที่หน้า ส่วนตัว

ถ้าเครือข่ายที่คุณอยู่จำกัด UDP จน ส่วนตัว (Tailscale) ทั้งช้าและไม่เสถียร บัญชีเดียวกันนี้เปลี่ยนไปใช้วิธีเชื่อมต่ออื่นได้ ดู วิธีเชื่อมต่อแบบไหนเหมาะกับสถานการณ์ไหน