คู่มือ
วิธีตั้งค่าการแยกช่องทาง VPN
วิธีส่งแอปพลิเคชันหรือที่อยู่บางส่วนออกนอกอุโมงค์ ขณะที่ทุกอย่างที่เหลือยังอยู่ภายในอุโมงค์ ค่าใช้จ่ายของข้อยกเว้นแต่ละรายการ และการตรวจสอบที่ยืนยันว่าการแยกช่องทางเป็นไปตามที่คุณตั้งใจ เขียนโดยอ้างอิงไคลเอนต์รุ่นปลายปี 2026 และ Android 17
สิ่งที่การตั้งค่านี้แก้ไข
การแยกช่องทาง VPN จะส่งชุดแอปพลิเคชันหรือที่อยู่ที่เลือกไว้ออกนอกอุโมงค์ และให้ทุกอย่างที่เหลืออยู่ภายในอุโมงค์ แต่ละรายการในรายการคือทราฟฟิกที่ VPN จะไม่จัดการอีกต่อไปทั้งหมดบนเครือข่ายปกติ เมื่อตั้งค่าอย่างถูกต้อง จะช่วยให้ใช้เครื่องพิมพ์และแอปธนาคารได้โดยไม่กระทบสิ่งอื่น เมื่อตั้งค่าอย่างหละหลวม ก็จะเป็นการรั่วไหลที่คุณกำหนดขึ้นเอง ขั้นตอนด้านล่างเป็นแนวทางแบบจำกัดขอบเขต
กฎสองประเภท
แยกตามแอปพลิเคชัน
กฎจะระบุชื่อโปรแกรม และการเชื่อมต่อของโปรแกรมนั้นจะข้ามอุโมงค์ ไคลเอนต์บน Windows, macOS และ Android รองรับฟังก์ชันนี้ ตั้งแต่ Android 17 เป็นต้นมา ไคลเอนต์สามารถส่งรายการให้หน้าจอที่ระบบจัดการได้ ดังนั้นระบบปฏิบัติการจะเป็นผู้บังคับใช้ข้อยกเว้นแทนไคลเอนต์ — ไคลเอนต์ที่เปิดหน้าจอนั้นจากการตั้งค่าของตนเองกำลังใช้ฟังก์ชันนี้ iOS ไม่มีการแยกช่องทางรายแอปสำหรับไคลเอนต์ทั่วไป สิ่งที่ใกล้เคียงที่สุดคือสวิตช์เครือข่ายท้องถิ่นด้านล่าง
แยกตามที่อยู่หรือซับเน็ต
กฎจะระบุปลายทาง และทราฟฟิกจากโปรแกรมใดก็ตามที่ไปยังปลายทางนั้นจะข้ามอุโมงค์ วิธีนี้มีความละเอียดน้อยกว่าและอ่านย้อนกลับได้ยากกว่า เพราะกฎที่อยู่จะครอบคลุมสิ่งใดก็ตามที่ตอบกลับจากที่อยู่นั้นในวันพรุ่งนี้ วิธีนี้เหมาะสำหรับอุปกรณ์บนเครือข่ายของคุณเอง และไม่เหมาะสำหรับบริการบนอินเทอร์เน็ต
สิ่งที่จะออกไปภายนอก
- อุปกรณ์บนเครือข่ายของคุณเอง — เครื่องพิมพ์, NAS, เซิร์ฟเวอร์สื่อ — ซึ่งการกำหนดเส้นทางของอุโมงค์ทำให้คุณมองไม่เห็น ลองใช้สวิตช์เครือข่ายท้องถิ่นก่อน เพราะเป็นการตั้งค่าที่เล็กกว่าและครอบคลุมกรณีส่วนใหญ่โดยไม่ต้องใช้กฎ
- แอปพลิเคชันที่ปฏิเสธการเชื่อมต่อจากที่อยู่ของทางออก โดยทั่วไปคือแอปของธนาคาร กฎนี้ทำให้มีเพียงแอปนั้นที่มองเห็นที่อยู่จริงของคุณ ส่วนอื่นจะไม่เห็น ธนาคารจึงรู้ว่าคุณอยู่ที่ไหน ซึ่งเป็นสิ่งที่ต้องแลก
- ไม่มีสิ่งอื่นตามค่าเริ่มต้น ทุกรายการคือแอปพลิเคชันที่เครือข่ายที่คุณกำลังใช้งานอยู่สามารถอ่านทราฟฟิกได้ รายการที่ยาวจึงเป็น VPN ที่ปกป้องเบราว์เซอร์และแทบไม่ปกป้องสิ่งอื่น
ข้อยกเว้นมีไว้สำหรับแอปพลิเคชันที่ทำงานผ่านอุโมงค์ไม่ได้ ไม่ใช่วิธีเข้าถึงบริการที่ตัดสินใจไม่ให้บริการทางออกจากประเทศนั้น นั่นเป็นการตัดสินใจของบริการ และการกำหนดเส้นทางเพื่อหลีกเลี่ยงเรื่องดังกล่าวอยู่นอกขอบเขตของหน้านี้
การตั้งค่ากฎ
- เปิดส่วนการแยกช่องทาง VPN ของไคลเอนต์ ซึ่งมักอยู่ใต้การตั้งค่าการเชื่อมต่อหรือการตั้งค่าขั้นสูง บน Android 17 และใหม่กว่า ไคลเอนต์อาจเปิดหน้าจอที่ระบบจัดการสำหรับรายการเดียวกัน ไม่ว่าจะเป็นกรณีใดจะมีรายการเดียว และเป็นส่วนของไคลเอนต์เองที่นำไปยังรายการนั้น
- ตรวจสอบโหมดก่อนเพิ่มรายการใด ๆ ไคลเอนต์ส่วนใหญ่มีสองโหมด: แอปที่อยู่ในรายการจะข้ามอุโมงค์ หรือ เฉพาะแอปที่อยู่ในรายการเท่านั้นที่ใช้อุโมงค์ แบบที่สองคือการแยกช่องทางแบบกลับด้าน และเมื่อรายการว่างเปล่า หมายความว่าจะไม่มีอะไรถูกส่งผ่านอุโมงค์ ตรวจสอบให้แน่ใจว่าโหมดตรงกับที่คุณตั้งใจ
- เพิ่มแอปพลิเคชัน ไม่ใช่โฟลเดอร์ของแอป และเพิ่มไฟล์ปฏิบัติการที่เป็นผู้สร้างการเชื่อมต่อจริงเพียงไฟล์เดียว ชุดโปรแกรมที่มีหลายโพรเซสอาจต้องเพิ่มทีละรายการ การเพิ่มโฟลเดอร์ที่ติดตั้งจะเพิ่มตัวอัปเดตของโปรแกรมด้วย
- ออกจากแอปพลิเคชันโดยสมบูรณ์และเชื่อมต่อไคลเอนต์ใหม่ กฎจะมีผลกับการเชื่อมต่อใหม่ แอปพลิเคชันที่ยังเปิดอยู่จะใช้เส้นทางเดิมต่อไป และทำให้ผลการตรวจสอบคลาดเคลื่อน
โหมดกลับด้าน
ในโหมดกลับด้าน เฉพาะแอปพลิเคชันที่อยู่ในรายการเท่านั้นที่ใช้อุโมงค์ ส่วนทุกอย่างที่เหลือจะข้ามอุโมงค์ โหมดนี้เหมาะเมื่อมีแอปหนึ่งที่ต้องใช้อุโมงค์ และคุณต้องการให้ส่วนอื่นของเครื่องทำงานเสมือนว่าไม่ได้ติดตั้งไคลเอนต์ แต่ไม่เหมาะกับกรณีอื่น เพราะทุกแอปพลิเคชันที่คุณลืมเพิ่มในรายการจะอยู่บนเครือข่ายเปิด หากใช้โหมดนี้ ในไคลเอนต์ส่วนใหญ่คิลสวิตช์จะครอบคลุมเฉพาะแอปพลิเคชันที่อยู่ในรายการ ส่วนที่เหลือไม่เคยอยู่ในอุโมงค์ตั้งแต่แรก
การเข้าถึงเครือข่ายท้องถิ่น
ไคลเอนต์ส่วนใหญ่มีสวิตช์เดียวที่อนุญาตให้ที่อยู่บนเครือข่ายของคุณเองผ่านได้ ขณะที่ทุกอย่างที่เหลือยังอยู่ในอุโมงค์ นี่คือการแยกช่องทางตามซับเน็ตที่เลือกไว้ให้คุณ และครอบคลุมเครื่องพิมพ์กับ NAS โดยไม่ต้องใช้กฎ บนเครือข่ายที่คุณดูแลเอง ค่าใช้จ่ายด้านความเสี่ยงมีน้อย แต่บนเครือข่ายสาธารณะ สวิตช์นี้ทำให้อุปกรณ์ทุกเครื่องบนเครือข่ายนั้นเข้าถึงอุปกรณ์ของคุณได้ นี่จึงเป็นเหตุผลที่ปิดไว้ตามค่าเริ่มต้น และควรปิดอีกครั้งก่อนออกจากเครือข่าย
ยืนยันว่าการแยกช่องทางเป็นไปตามที่คุณตั้งใจ
- ในแอปพลิเคชันที่เป็นข้อยกเว้น ให้ค้นหาการตรวจสอบที่อยู่ของแอปเอง — รายละเอียดเซสชันของแอปธนาคาร แผงที่อยู่ของไคลเอนต์ทอร์เรนต์ หรือหน้าใด ๆ ที่เปิดในเบราว์เซอร์ที่เป็นข้อยกเว้น — และคาดว่าจะเห็นที่อยู่กับประเทศของคุณเอง
- ในแอปพลิเคชันใดก็ตามที่คุณไม่ได้กำหนดเป็นข้อยกเว้น ให้เรียกใช้การตรวจสอบที่อยู่ และคาดว่าจะเห็นที่อยู่ของทางออก ให้ทำในเบราว์เซอร์ที่คุณไม่ได้เพิ่มในรายการ และในแอปพลิเคชันอื่นอีกหนึ่งรายการ หากมีแอปที่แสดงที่อยู่ของตัวเอง
- เรียกใช้การตรวจสอบครบชุดหนึ่งครั้ง จาก วิธีตรวจสอบว่า VPN ของคุณทำงานอยู่ โดยให้กฎยังมีผลอยู่ กฎที่ครอบคลุมมากกว่าที่คุณตั้งใจจะแสดงเป็นการรั่วไหลของสิ่งที่คุณคาดว่าจะอยู่ภายในอุโมงค์
การตรวจสอบเหล่านี้ยืนยันอะไร
+แอปพลิเคชันที่คุณเพิ่มในรายการ และมีเพียงแอปเหล่านั้น อยู่บนเครือข่ายปกติ
+ทุกอย่างที่เหลือยังออกผ่านทางออก รวมถึงการค้นหาด้วย
+โหมดที่ใช้อยู่เป็นโหมดที่คุณตั้งใจ ไม่ใช่โหมดกลับด้าน
สิ่งที่การตรวจสอบเหล่านี้ไม่ได้ยืนยัน
−ไม่ได้บอกว่าผู้ให้บริการเก็บข้อมูลอะไรไว้จากทราฟฟิกที่อยู่ภายในอุโมงค์ — คำตอบอยู่ในหน้าข้อมูลการเก็บข้อมูล
−การทดสอบการรั่วไหลมองไม่เห็นข้อยกเว้นที่ตั้งใจไว้ แอปพลิเคชันที่เป็นข้อยกเว้นต้องตรวจสอบจากภายในแอปเอง หรือไม่ก็ตรวจสอบไม่ได้
−ชุดกฎที่ตั้งไว้ในวันนี้จะติดตามแอปพลิเคชันผ่านการอัปเดต และแอปพลิเคชันที่อัปเดตแล้วอาจเปิดการเชื่อมต่อจากโพรเซสที่คุณไม่ได้เพิ่มในรายการ
เมื่อการแยกช่องทางไม่เป็นไปตามที่ตั้งไว้
แอปที่เป็นข้อยกเว้นยังแสดงที่อยู่ของทางออก
กฎไม่มีผล และสาเหตุที่พบบ่อยคือแอปเปิดอยู่ก่อนแล้ว การแยกช่องทาง VPN จะมีผลกับการเชื่อมต่อที่สร้างขึ้นหลังตั้งกฎ ออกจากแอปโดยสมบูรณ์ เชื่อมต่อไคลเอนต์ใหม่ แล้วเปิดแอปอีกครั้ง บน Android ให้ตรวจสอบว่ากฎอยู่ในไคลเอนต์หรือในการตั้งค่าระบบ เพราะแอปที่เป็นข้อยกเว้นในที่หนึ่งแต่ไม่ใช่อีกที่หนึ่งจะทำตามสิ่งที่ระบบปฏิบัติการบังคับใช้
เบราว์เซอร์เป็นกรณีที่ตรวจสอบได้ยากที่สุด: โพรเซสเบื้องหลังจะคงการเชื่อมต่อไว้แม้ปิดหน้าต่างแล้ว จึงต้องออกจากเบราว์เซอร์ผ่านเมนูของตัวเอง ไม่ใช่เพียงปิดหน้าต่าง
แอปที่ฉันไม่ได้กำหนดเป็นข้อยกเว้นแสดงที่อยู่ของฉันเอง
มีบางสิ่งที่ครอบคลุมกว่ากฎรายแอปกำลังมีผลอยู่ อาจเป็นกฎรายที่อยู่หรือซับเน็ตที่บังเอิญครอบคลุมปลายทาง โหมดกลับด้านที่ตั้งไว้โดยไม่ตั้งใจจนมีเพียงแอปในรายการที่ถูกส่งผ่านอุโมงค์ หรือสวิตช์เครือข่ายท้องถิ่นบนเครือข่ายที่แจกจ่ายที่อยู่สาธารณะ อ่านกฎทุกข้อ ไม่ใช่แค่รายการแอป และปิดฟังก์ชันทั้งหมดเพื่อยืนยันว่าที่อยู่กลับไปเป็นของทางออก จากนั้นเพิ่มกฎกลับทีละข้อ
ยังเข้าถึงเครื่องพิมพ์หรือ NAS ไม่ได้
การเข้าถึงเครือข่ายท้องถิ่นเป็นการตั้งค่าที่เล็กกว่าการแยกช่องทาง VPN และบางครั้งเป็นการตั้งค่าแยกต่างหาก โดยอนุญาตให้ที่อยู่ของเครือข่ายของคุณเองผ่านได้ ขณะที่กำหนดเส้นทางทุกอย่างที่เหลือ หากไคลเอนต์มีฟังก์ชันนี้ ให้เปิดก่อนเพิ่มกฎซับเน็ตด้วยตนเอง หากเข้าถึงอุปกรณ์ด้วยชื่อแทนที่อยู่ ชื่อนั้นอาจถูกแปลงผ่าน DNS ของอุโมงค์ ซึ่งมองไม่เห็นเครือข่ายของคุณ ให้ใช้ที่อยู่แทน
การทดสอบการรั่วไหลผ่าน แต่ฉันกำหนดแอปเป็นข้อยกเว้น
การทดสอบทำงานในเบราว์เซอร์ และเบราว์เซอร์อยู่ภายในอุโมงค์ ข้อยกเว้นที่ตั้งใจไว้จะมองไม่เห็นในการทดสอบการรั่วไหลตามการออกแบบ ทราฟฟิกของแอปที่เป็นข้อยกเว้นอยู่บนเครือข่ายปกติทั้งหมด และไม่มีหน้าใดที่คุณเปิดที่อื่นจะรายงานเรื่องนี้ การตรวจสอบข้อยกเว้นต้องดูที่อยู่ของแอปที่เป็นข้อยกเว้นเอง ตามที่ส่วนสุดท้ายอธิบาย ไม่ใช่ดูจากหน้าทดสอบ
ขั้นตอนเดียวกัน เครื่องอื่น
แพลตฟอร์มที่เหลือ
ทุกแพลตฟอร์มมีคู่มือของตัวเอง แทนที่จะเป็นแท็บในคู่มือนี้ ขั้นตอนต่างกันทันทีที่ตัวติดตั้งเปิดขึ้นมา และหน้าเดียวที่ตอบสามแพลตฟอร์มพร้อมกันก็จะตอบไม่ได้ดีสักแพลตฟอร์มเดียว