อินเทอร์เน็ตทำงานอย่างไร

01พัสดุชิ้นเล็ก ๆ ชื่อแพ็กเก็ต Packets

สามทุ่มคืนวันอาทิตย์ น้องส่งรูปแมวให้เพื่อนทางแชต กดส่งปุ๊บ อีกฝั่งเห็นปั๊บ ดูเหมือนรูปทั้งรูปพุ่งไปเป็นก้อนเดียว แต่ความจริงคือ รูปนั้นถูกหั่นเป็นชิ้นเล็ก ๆ หลายร้อยชิ้น แต่ละชิ้นเดินทางของมันเอง แล้วไปต่อกลับเป็นรูปเดิมที่ปลายทาง

ชิ้นเล็ก ๆ แต่ละชิ้นเรียกว่า แพ็กเก็ต (packet) นึกถึงการย้ายบ้านด้วยรถขนของคันเล็ก ๆ หลายคัน แทนที่จะยกบ้านทั้งหลังขึ้นรถคันเดียว ของถูกแบ่งใส่กล่อง ทุกกล่องเขียนที่อยู่ปลายทางกับเลขลำดับ “กล่องที่ 3 จาก 5” ไว้ข้างกล่อง รถแต่ละคันอาจเลือกถนนต่างกัน ถึงก่อนถึงหลังก็ไม่เป็นไร เพราะปลายทางเรียงกล่องตามเลขได้เอง

ทำไมต้องหั่น? เพราะสายและคลื่นทุกเส้นบนอินเทอร์เน็ตถูกแบ่งกันใช้โดยคนนับล้าน ถ้าใครส่งไฟล์ใหญ่ทีเดียวทั้งก้อน คนอื่นต้องรอจนเสร็จ การหั่นเป็นชิ้นเล็กทำให้ทุกคนสลับกันใช้ถนนได้ลื่นไหล และถ้าชิ้นไหนหายระหว่างทาง ก็ส่งซ้ำแค่ชิ้นนั้น ไม่ต้องส่งใหม่ทั้งไฟล์

ตรงนี้มีบทเรียนความปลอดภัยข้อแรกซ่อนอยู่ แพ็กเก็ตเดินผ่าน “มือ” หลายมือก่อนถึงปลายทาง ทั้งเราเตอร์ในบ้าน อุปกรณ์ของผู้ให้บริการ และเครือข่ายของบริษัทอื่นอีกหลายแห่ง ถ้าข้างในกล่องไม่ได้ปิดผนึก ใครที่อยู่บนเส้นทางก็เปิดดูได้ นี่คือเหตุผลที่การเข้ารหัสสำคัญนัก เราไม่ได้เลือกเองว่าแพ็กเก็ตจะผ่านใคร แต่เราเลือกได้ว่าจะปิดผนึกกล่องหรือไม่

ศัพท์น่ารู้: แพ็กเก็ต (Packet) และโปรโตคอล (Protocol)

แพ็กเก็ตคือข้อมูลชิ้นเล็กที่มี “หัว” (header) บอกที่อยู่และข้อมูลควบคุม กับ “เนื้อ” (payload) คือข้อมูลจริง ส่วนโปรโตคอลคือกติกาที่ทุกเครื่องตกลงใช้ร่วมกัน ว่าหัวต้องเขียนแบบไหน ส่งอย่างไร ตอบอย่างไร เหมือนแบบฟอร์มไปรษณีย์ที่ทุกสาขาอ่านเข้าใจตรงกัน

02ที่อยู่ IP และพอร์ต IP addresses & ports

กล่องพัสดุจะถึงมือผู้รับได้ ต้องมีที่อยู่ที่ชัดเจน บนอินเทอร์เน็ต ที่อยู่นั้นมีสองส่วน และเปรียบได้กับการส่งของไปคอนโดสักแห่ง

• ที่อยู่ IP (IP address) คือ เลขที่ตึก บอกว่าเครื่องปลายทางอยู่ตรงไหนของโลก เช่น 203.0.113.10
• พอร์ต (port) คือ เลขห้อง ในตึกนั้น บอกว่าข้อมูลนี้ต้องส่งให้โปรแกรมไหน เพราะเครื่องหนึ่งเครื่องอาจรันหลายบริการพร้อมกัน เช่น ห้อง 443 คือเว็บแบบ HTTPS ห้อง 53 คือ DNS ห้อง 25 คือรับส่งอีเมล

เวลาเขียนรวมกันจะใช้เครื่องหมายโคลอนคั่น 203.0.113.10:443 อ่านว่า “ตึก 203.0.113.10 ห้อง 443” รปภ.ที่ล็อบบี้ (ระบบปฏิบัติการของเซิร์ฟเวอร์) ดูเลขห้องแล้วส่งของขึ้นไปให้ถูกคน ถ้าห้องไหนไม่มีใครอยู่ ของก็ถูกตีกลับ

ฝั่งเราก็มีพอร์ตเหมือนกัน เวลาเบราว์เซอร์เปิดเว็บ ระบบจะสุ่มเลขห้องชั่วคราวให้ เช่น 51734 เพื่อให้คำตอบที่วิ่งกลับมาเข้าแท็บที่ถูกต้อง เปิดสิบแท็บก็ได้สิบห้องชั่วคราว ไม่ปนกัน

# ต้นทาง              ปลายทาง               โปรโตคอล
SRC 192.168.1.23:51734  DST 203.0.113.10:443  TCP
# เลขลำดับ ขนาด และข้อมูลควบคุมอื่น ๆ ตามมา แล้วจึงเป็นเนื้อข้อมูล

IP ที่ใช้กันมีสองรุ่น IPv4 ยาว 32 บิต เขียนเป็นเลขสี่ชุด รองรับได้ราว 4.3 พันล้านที่อยู่ ซึ่งฟังดูเยอะ แต่ไม่พอกับโลกที่ทุกคนมีมือถือ แท็บเล็ต ทีวี และกล้องวงจรปิด จึงเกิด IPv6 ยาว 128 บิต เขียนเป็นเลขฐานสิบหก เช่น 2001:db8::1 มีที่อยู่มากพอจะแจกทุกเม็ดทรายบนโลกได้สบาย ๆ ทุกวันนี้สองรุ่นใช้งานคู่กัน

มุมความปลอดภัยของเรื่องนี้คือ พอร์ตที่เปิดอยู่คือประตูที่เปิดอยู่ คนร้ายมักเริ่มจากการไล่ส่องว่าตึกไหนเปิดห้องอะไรไว้บ้าง (เรียกว่าการสแกนพอร์ต) ถ้าเจอห้องที่ไม่ควรเปิด เช่น หน้าจัดการเราเตอร์ที่เปิดออกอินเทอร์เน็ต หรือบริการเก่าที่ไม่ได้แพตช์ ก็จะลองเคาะประตูนั้น วิธีป้องกันจึงเรียบง่าย ปิดห้องที่ไม่ได้ใช้ และล็อกห้องที่ต้องเปิด ซึ่งไฟร์วอลล์ทำหน้าที่นี้

ศัพท์น่ารู้: IP สาธารณะ กับ IP ภายใน (Public / Private IP)

IP สาธารณะคือเลขที่ตึกที่คนทั้งโลกมองเห็น ส่วน IP ภายในคือเลขห้องในหมู่บ้าน ใช้ได้เฉพาะในบ้านหรือในองค์กร ช่วงที่สงวนไว้ใช้ภายในคือ 10.x.x.x, 172.16–31.x.x และ 192.168.x.x ถ้าเห็นเลขเหล่านี้ในเครื่องเรา แปลว่าเราอยู่หลังเราเตอร์ ซึ่งจะเล่าละเอียดในหัวข้อ NAT

03การเดินทางของคำขอหนึ่งครั้ง The journey of a request

ลองตามดูว่าเกิดอะไรขึ้นบ้าง ตั้งแต่เราพิมพ์ shop.example ในเบราว์เซอร์ จนหน้าเว็บโผล่ขึ้นมา ทั้งหมดนี้มักใช้เวลาไม่ถึงหนึ่งวินาที แต่ผ่านหลายด่านกว่าที่คิด

1. เครื่องเราเตรียมคำขอ

   เบราว์เซอร์รู้แค่ชื่อเว็บ จึงต้องหาเลข IP ก่อน มันเปิดดูความจำของตัวเองและของเครื่อง (แคช) ก่อน ถ้าเพิ่งเข้าเว็บนี้ไปก็ได้เลขทันที ถ้าไม่เคยก็ต้องไปถาม DNS

2. เราเตอร์ที่บ้านส่งออก

   แพ็กเก็ตวิ่งผ่านสายหรือ Wi‑Fi ไปที่เราเตอร์ ซึ่งเป็น “ประตูหมู่บ้าน” เราเตอร์เปลี่ยนที่อยู่ผู้ส่งจาก IP ภายในเป็น IP สาธารณะของบ้าน แล้วส่งต่อให้ผู้ให้บริการ

3. ISP พาเข้าสู่โลกภายนอก

   ผู้ให้บริการอินเทอร์เน็ต (Internet Service Provider หรือ ISP) คือบริษัทที่เราจ่ายค่าเน็ตทุกเดือน ทั้งเน็ตบ้านและเน็ตมือถือ ISP มักให้บริการ DNS ด้วย คำถาม “ชื่อนี้คือ IP อะไร” จึงมักไปจบที่ ISP เป็นที่แรก

4. ส่งต่อเป็นทอด ๆ

   อินเทอร์เน็ตไม่ใช่เครือข่ายเดียว แต่เป็น “เครือข่ายของเครือข่าย” หลายหมื่นแห่งที่ตกลงเชื่อมกัน เราเตอร์แต่ละตัวดูที่อยู่ปลายทางแล้วตัดสินว่าจะส่งต่อให้ใคร คล้ายพนักงานคัดแยกไปรษณีย์ที่ไม่ต้องรู้ทางทั้งหมด รู้แค่ว่าควรส่งไปศูนย์ไหนต่อ

5. เซิร์ฟเวอร์ตอบกลับ

   เซิร์ฟเวอร์รับคำขอที่ห้อง 443 ประมวลผล แล้วส่งหน้าเว็บกลับมาเป็นแพ็กเก็ตจำนวนมาก เบราว์เซอร์เรียงประกอบแล้ววาดหน้าจอให้เรา

สังเกตว่าตลอดทาง ไม่มีด่านไหนที่เราเป็นเจ้าของ นอกจากเครื่องเราและเราเตอร์ที่บ้าน ที่เหลือเป็นของคนอื่นทั้งหมด จะไว้ใจได้แค่ไหนขึ้นกับว่าเราใช้เครือข่ายของใคร Wi‑Fi ร้านกาแฟ Wi‑Fi โรงแรม หรือฮอตสปอตที่ไม่รู้ว่าใครตั้ง ล้วนเป็น “มือ” แรกที่แตะแพ็กเก็ตของเรา หลังจากเราเตอร์ที่บ้าน

04DNS สมุดรายชื่อของอินเทอร์เน็ต How DNS works

คนจำชื่อเก่ง เครื่องจำเลขเก่ง เราจำ shop.example ได้ แต่จำ 203.0.113.10 ไม่ไหว ระบบชื่อโดเมน (Domain Name System หรือ DNS) คือตัวกลางที่แปลชื่อเป็นเลข เหมือนสมุดรายชื่อโทรศัพท์ที่เปิดหาชื่อแล้วได้เบอร์

แต่สมุดเล่มนี้ไม่ได้อยู่ที่เดียว มันถูกแบ่งเป็นชั้น ๆ ตามส่วนของชื่อ อ่านจากขวาไปซ้าย ชื่อ shop.example.com มีส่วนท้ายสุดคือ .com ตรงกลางคือ example และหน้าสุดคือ shop แต่ละส่วนมีเจ้าของดูแลต่างกัน การหาคำตอบจึงเป็นการไล่ถามทีละชั้น

ตัวละครในภาพมีสี่แบบ Resolver คือบรรณารักษ์ที่รับคำถามจากเรา มักเป็นของ ISP หรือบริการ DNS สาธารณะที่เราเลือกตั้งเอง Root คือชั้นบนสุด รู้แค่ว่าส่วนท้ายสุดแต่ละแบบ (.com, .th, .org) ต้องไปถามใคร เซิร์ฟเวอร์รากมี 13 ชื่อ แต่รวมกันแล้วมีเครื่องกระจายอยู่ทั่วโลกนับพันจุด ใครถามก็ได้คำตอบจากจุดที่ใกล้ที่สุด TLD ดูแลส่วนท้ายแต่ละแบบ และ Authoritative คือเจ้าของคำตอบตัวจริงที่เจ้าของโดเมนตั้งค่าไว้

ทำไมเรื่องนี้สำคัญกับความปลอดภัย? เพราะ DNS คือป้ายบอกทางก่อนทุกการเดินทาง ถ้าป้ายชี้ผิด ต่อให้เราพิมพ์ชื่อเว็บธนาคารถูกทุกตัวอักษร เครื่องก็จะพาเราไปผิดตึก โดยที่แถบที่อยู่ยังแสดงชื่อเดิมเป๊ะ นี่ต่างจากฟิชชิงทั่วไปที่ชื่อเว็บมักสะกดเพี้ยน กรณี DNS ถูกปลอม ชื่อดูถูกต้องทุกอย่าง

ศัพท์น่ารู้: แคช (Cache) และ TTL

แคชคือความจำระยะสั้น resolver และเครื่องเราจำคำตอบที่เพิ่งได้มา จะได้ไม่ต้องถามซ้ำ ส่วน TTL (Time To Live) คืออายุของคำตอบที่เจ้าของโดเมนกำหนด เช่น 300 วินาที พ้นเวลาแล้วต้องถามใหม่ แคชทำให้เน็ตเร็วขึ้นมาก แต่ก็แปลว่า ถ้าคำตอบปลอมหลุดเข้าไปในแคชได้ ทุกคนที่ใช้ resolver ตัวนั้นจะโดนพร้อมกันจนกว่า TTL จะหมด

05เมื่อสมุดรายชื่อถูกปลอม DNS spoofing & hijacking

การโจมตี DNS มีหลายหน้าตา แต่แก่นเดียวกันคือ ทำให้ชื่อที่ถูกต้องชี้ไปที่เลขที่ผิด ลองนึกถึงป้ายบอกทางในงานวัด ถ้ามีคนแอบหมุนป้าย “ห้องน้ำ →” ให้ชี้ไปหลังเต็นท์ของตัวเอง คนที่เดินตามป้ายก็ไม่ได้ทำอะไรผิดเลย แค่เชื่อป้าย

แบ่งให้เห็นภาพได้สามแบบ ตามว่าป้ายถูกหมุนที่ไหน

• ปลอมคำตอบระหว่างทาง (DNS spoofing / cache poisoning): DNS แบบดั้งเดิมไม่มีลายเซ็น resolver เชื่อคำตอบแรกที่ดูเข้าเค้า ถ้าคนร้ายส่งคำตอบปลอมไปถึงก่อนคำตอบจริงและเดาข้อมูลกำกับได้ตรง คำตอบปลอมก็ถูกเชื่อ และถูกจดลงแคชให้คนอื่นโดนตามไปด้วย
• ยึดจุดตั้งค่า (DNS hijacking): ไม่ต้องแข่งความเร็ว แค่เปลี่ยน “ว่าจะไปถามใคร” เช่น แก้ค่า DNS ในเราเตอร์บ้านที่ยังใช้รหัสแอดมินค่าเริ่มต้น หรือยึดบัญชีของเจ้าของโดเมนที่ผู้ให้บริการจดทะเบียนชื่อ แล้วเปลี่ยนคำตอบที่ต้นทางเลย
• ดึงเส้นทางไปทั้งก้อน (BGP hijack): ระดับใหญ่ที่สุด คนร้ายประกาศบนอินเทอร์เน็ตว่า “ช่วงที่อยู่นี้มาทางฉัน” เพื่อดึงทราฟฟิกที่ควรไปหาเซิร์ฟเวอร์ DNS จริงมาเข้าเครื่องตัวเองแทน

แบบแรกเคยเป็นข่าวใหญ่ของวงการ ในปี 2008 นักวิจัยชื่อ Dan Kaminsky พบว่าการวางยาแคช DNS ทำได้ง่ายกว่าที่ทุกคนเคยเชื่อมาก จนผู้ผลิตซอฟต์แวร์ DNS หลายรายต้องร่วมกันออกแพตช์พร้อมกันในเดือนกรกฎาคมปีนั้น หัวใจของการแก้คือ สุ่มพอร์ตต้นทางของคำถามทุกครั้ง ทำให้คนร้ายต้องเดาสองอย่างพร้อมกัน โอกาสเดาถูกจึงลดลงมหาศาล บทเรียนคือ ซอฟต์แวร์โครงสร้างพื้นฐานที่ทุกคนใช้ก็ต้องอัปเดตเหมือนแอปในมือถือ

แล้วฝั่งป้องกันมีอะไรบ้าง ไล่จากระดับโลกลงมาถึงมือเรา

• DNSSEC ให้เจ้าของโดเมนเซ็นลายเซ็นดิจิทัลกำกับคำตอบ resolver ที่ตรวจ DNSSEC จะทิ้งคำตอบที่ลายเซ็นไม่ตรง คำตอบปลอมระหว่างทางจึงหลุดผ่านยาก (เจ้าของโดเมนต้องเปิดใช้ด้วย และไม่ได้ช่วยเรื่องความลับ เพราะยังเห็นคำถามได้)
• DNS เข้ารหัส คือ DNS over HTTPS (DoH) และ DNS over TLS (DoT) ห่อคำถามและคำตอบระหว่างเครื่องเรากับ resolver ไว้ คนบน Wi‑Fi เดียวกันหรือระหว่างทางจึงทั้งแอบดูและแอบแก้ไม่ได้ เบราว์เซอร์และระบบปฏิบัติการหลักรองรับแล้ว
• RPKI และการกรองเส้นทาง เป็นงานของผู้ให้บริการเครือข่าย ช่วยตรวจว่าใครมีสิทธิ์ประกาศช่วงที่อยู่ไหน กันเหตุแบบ Route 53
• HTTPS คือตาข่ายผืนสุดท้าย ต่อให้ DNS ถูกหลอก เว็บปลอมก็ยังไม่มีใบรับรองที่ถูกต้องของชื่อนั้น ถ้าเราไม่กดผ่านคำเตือน ก็รอด
• ฝั่งเจ้าของโดเมน เปิด MFA และการล็อกโดเมน (registry/registrar lock) กับผู้ให้บริการจดทะเบียนชื่อ เพื่อไม่ให้ใครเปลี่ยนค่า DNS ได้ง่าย ๆ

06TCP กับ UDP TCP vs UDP

รู้ที่อยู่แล้ว ต่อไปคือ “วิธีส่ง” อินเทอร์เน็ตมีวิธีหลักอยู่สองแบบ เหมือนการส่งของทางไปรษณีย์ที่เลือกได้ว่าจะส่งลงทะเบียนมีใบตอบรับ หรือส่งธรรมดาหย่อนตู้แล้วจบ

TCP (Transmission Control Protocol) คือแบบลงทะเบียน ก่อนส่งข้อมูลจริง สองฝั่งจะ “จับมือสามจังหวะ” (three‑way handshake) ฝั่งเราส่ง SYN ขอเชื่อมต่อ ฝั่งเซิร์ฟเวอร์ตอบ SYN‑ACK ว่ารับทราบ แล้วเราตอบ ACK ปิดท้าย จากนั้นทุกชิ้นมีเลขลำดับ ปลายทางคอยบอกว่าได้ถึงชิ้นไหนแล้ว ชิ้นไหนหายก็ขอใหม่ ข้อมูลจึงครบและเรียงถูกเสมอ

UDP (User Datagram Protocol) คือแบบหย่อนตู้ ไม่จับมือ ไม่มีใบตอบรับ ส่งไปเลย ชิ้นไหนหายก็หายไป ฟังดูแย่ แต่สำหรับงานบางอย่าง ความเร็วสำคัญกว่าความครบ วิดีโอคอลที่ภาพกระตุกแวบเดียวยังดีกว่าภาพค้างรอชิ้นเก่าที่หายไปแล้ว

เรื่องที่น่าเล่าต่อคือ QUIC โปรโตคอลรุ่นใหม่ที่ HTTP/3 ใช้ มันวิ่งบน UDP แต่สร้างความน่าเชื่อถือแบบ TCP และการเข้ารหัสไว้ในตัวเอง ทำให้เว็บสมัยใหม่จำนวนมากเชื่อมต่อได้เร็วขึ้น ถ้าเราเห็นเบราว์เซอร์คุยกับเว็บผ่าน UDP พอร์ต 443 ก็ไม่ต้องตกใจ นั่นคือ QUIC

มุมความปลอดภัย: การที่ UDP ไม่จับมือแปลว่า ปลายทางไม่ได้ยืนยันว่าผู้ส่งเป็นใครจริง คนร้ายจึงชอบปลอมที่อยู่ผู้ส่งในแพ็กเก็ต UDP เพื่อหลอกให้เซิร์ฟเวอร์ตอบคำตอบก้อนใหญ่ไปถล่มเหยื่อ เป็นแก่นของการโจมตีแบบขยายปริมาณ (amplification) ที่จะเจออีกครั้งในบท DDoS ส่วน TCP ก็มีจุดอ่อนของมันเอง เช่น การส่ง SYN รัว ๆ แล้วไม่จับมือให้จบ เพื่อให้เซิร์ฟเวอร์ต้องจองที่รอจนเต็ม ฝั่งป้องกันมีทั้งการกรองที่ขอบเครือข่าย การจำกัดอัตรา และกลไกอย่าง SYN cookies ในระบบปฏิบัติการ

ศัพท์น่ารู้: การจับมือสามจังหวะ (Three‑way handshake)

ลำดับ SYN → SYN‑ACK → ACK ที่ TCP ใช้เปิดการเชื่อมต่อ เปรียบเหมือนโทรศัพท์ “ฮัลโหล” “ฮัลโหล ได้ยินครับ” “โอเค งั้นเริ่มเลย” ก่อนคุยเรื่องจริง ทั้งสองฝั่งได้ตกลงเลขเริ่มต้นสำหรับนับชิ้นข้อมูลไปพร้อมกัน

07โมเดลเป็นชั้น ๆ The layer model

ถึงตรงนี้เราเจอทั้ง HTTP, DNS, TCP, UDP, IP และ Wi‑Fi มันเกี่ยวกันอย่างไร? วิศวกรเครือข่ายใช้วิธีมองเป็น ชั้น (layer) แต่ละชั้นทำหน้าที่ของตัวเองอย่างเดียว แล้วส่งต่อให้ชั้นถัดไป เหมือนการส่งจดหมายที่คนเขียนไม่ต้องรู้ว่ารถไปรษณีย์วิ่งถนนไหน และคนขับรถก็ไม่ต้องอ่านเนื้อความในจดหมาย

ตอนส่ง ข้อมูลถูก ห่อทับทีละชั้น (encapsulation) ชั้นบนสุดเขียนเนื้อความ ชั้นขนส่งเติมเลขห้องและเลขลำดับ ชั้นอินเทอร์เน็ตเติมเลขที่ตึก ชั้นล่างสุดเติมข้อมูลสำหรับเดินทางช่วงสั้น ๆ ในสายหรือคลื่น ตอนรับ ปลายทางก็แกะออกทีละชั้นจากล่างขึ้นบน

ในห้องเรียนเราอาจเจอ โมเดล OSI เจ็ดชั้น ซึ่งแยกละเอียดกว่า ส่วนอินเทอร์เน็ตที่ใช้งานจริงยึดโมเดล TCP/IP สี่ชั้นตามภาพ ทั้งสองแบบเป็นแค่ “แผนที่ในหัว” ไม่ต้องท่องจำเลขชั้นให้แม่น จำแค่ว่าใครทำหน้าที่อะไรก็พอ คนในวงการพูดว่า “ปัญหาอยู่ชั้น 3” หรือ “ไฟร์วอลล์ชั้น 7” ก็หมายถึงตามโมเดล OSI นี่เอง

ทำไมคนทำงานความปลอดภัยต้องคิดเป็นชั้น? เพราะ การโจมตีและการป้องกันแต่ละแบบอยู่คนละชั้น ฮอตสปอตปลอมเล่นที่ชั้นเชื่อมโยง การปลอมที่อยู่ IP เล่นที่ชั้นอินเทอร์เน็ต การถล่มด้วย SYN เล่นที่ชั้นขนส่ง ฟิชชิงและช่องโหว่เว็บเล่นที่ชั้นแอปพลิเคชัน เครื่องมือป้องกันก็เช่นกัน ไฟร์วอลล์ทั่วไปดูชั้น 3–4 (IP และพอร์ต) ส่วนไฟร์วอลล์เว็บ (WAF) ดูถึงชั้นแอปพลิเคชัน การเข้ารหัสด้วย TLS ห่อเนื้อความชั้นบนไว้ แต่หัว IP ด้านนอกยังต้องเปิดให้เราเตอร์อ่านได้ ข้อนี้คือกุญแจสำคัญของหัวข้อ “ใครเห็นอะไร” ที่จะมาถึง

ศัพท์น่ารู้: Encapsulation

การห่อข้อมูลซ้อนกันเป็นชั้น ๆ แต่ละชั้นเติม “หัว” ของตัวเองไว้ด้านหน้า เหมือนใส่จดหมายลงซอง ใส่ซองลงกล่อง แล้วแปะใบนำส่งบนกล่องอีกที คนที่อยู่ชั้นไหนก็เปิดดูได้แค่ชั้นของตัวเองกับชั้นนอกกว่า

08NAT และเราเตอร์ที่บ้าน NAT & the home router

บ้านหนึ่งหลังมีทั้งโน้ตบุ๊ก มือถือของทุกคน ทีวี และกล้องวงจรปิด แต่ ISP มักให้ IP สาธารณะมาแค่หมายเลขเดียว แล้วทุกเครื่องออกเน็ตพร้อมกันได้อย่างไร? คำตอบคือ NAT (Network Address Translation) ที่เราเตอร์ทำให้อยู่เงียบ ๆ ทุกวินาที

นึกถึงป้อม รปภ. หน้าหมู่บ้าน ทุกบ้านในหมู่บ้านมีเลขที่ภายใน แต่จดหมายขาออกทุกฉบับออกจากประตูหมู่บ้านด้วยที่อยู่เดียวกัน รปภ.จดในสมุดว่า “บ้าน 23 ส่งจดหมายไปร้าน A ใช้ช่องรับคืนหมายเลข 40001” พอร้าน A ตอบกลับมาที่ช่อง 40001 รปภ.เปิดสมุดดูแล้วเดินไปส่งบ้าน 23 ถูกหลัง

ผลพลอยได้ของ NAT คือ คนข้างนอกเคาะประตูเข้ามาหาเครื่องในบ้านตรง ๆ ไม่ได้ เพราะไม่มีแถวในตารางรอรับ แต่ อย่าถือว่า NAT คือไฟร์วอลล์ มันออกแบบมาเพื่อประหยัดที่อยู่ ไม่ใช่เพื่อความปลอดภัย ช่องโหว่ที่เกิดได้จริงมีหลายแบบ เช่น ฟีเจอร์ UPnP ที่ให้อุปกรณ์ในบ้าน “ขอเปิดประตูเอง” ได้โดยไม่ถามเรา การตั้ง port forwarding ทิ้งไว้แล้วลืม หรือมัลแวร์ในเครื่องที่ติดต่อออกไปหาคนร้ายเอง ซึ่ง NAT ไม่ขวางขาออกเลย

และเพราะเราเตอร์คือประตูหมู่บ้านที่ทราฟฟิกทุกชิ้นต้องผ่าน มันจึงเป็นเป้าหมายชั้นดี ใครยึดเราเตอร์ได้ ก็เปลี่ยนค่า DNS ให้ทั้งบ้านไปเว็บปลอมได้ หรือใช้เราเตอร์เป็นฐานโจมตีคนอื่นต่อ เราเตอร์และกล้องวงจรปิดที่ใช้รหัสค่าเริ่มต้นคือวัตถุดิบหลักของบอตเน็ตหลายตระกูล

1. เปลี่ยนรหัสแอดมินของเราเตอร์

   รหัสที่ติดมากับเครื่อง (มักพิมพ์อยู่บนสติกเกอร์ใต้เครื่อง) เป็นสิ่งแรกที่คนร้ายลอง ตั้งรหัสใหม่ที่ยาวและไม่ซ้ำ แยกจากรหัส Wi‑Fi

2. อัปเดตเฟิร์มแวร์

   เปิดอัปเดตอัตโนมัติถ้ามี หรือเข้าไปเช็กเป็นระยะ ถ้าผู้ผลิตเลิกออกอัปเดตให้รุ่นนั้นแล้ว ถึงเวลาเปลี่ยนเครื่อง

3. ใช้ WPA2 หรือ WPA3 และปิด WPS

   เลือกการเข้ารหัส Wi‑Fi แบบใหม่ ตั้งรหัส Wi‑Fi ยาว ๆ และปิดปุ่มเชื่อมต่อด่วน WPS ที่มีประวัติจุดอ่อน

4. อย่าเปิดหน้าจัดการจากภายนอก

   ปิด remote management ปิด UPnP ถ้าไม่จำเป็น และลบ port forwarding ที่ไม่ได้ใช้ ประตูที่ไม่มีใครเฝ้าอย่าเปิดทิ้งไว้

5. แยก Wi‑Fi แขกและอุปกรณ์ IoT

   ถ้าเราเตอร์รองรับ ให้แขกและอุปกรณ์อย่างกล้องหรือหลอดไฟอัจฉริยะอยู่อีกเครือข่าย ถ้าตัวใดตัวหนึ่งโดนเจาะ จะได้ไม่ลามมาถึงโน้ตบุ๊กที่มีงานสำคัญ

09ใครเห็นอะไร และด่านป้องกันอยู่ตรงไหน Who sees what, and where defences sit

กลับมาที่คำถามที่หลายคนสงสัย “ISP หรือเจ้าของ Wi‑Fi ร้านกาแฟเห็นอะไรเราบ้าง?” คำตอบขึ้นกับว่ากล่องพัสดุของเราปิดผนึกแค่ไหน จำหลักจากหัวข้อโมเดลเป็นชั้นไว้ ชั้นในที่เข้ารหัสแล้วมองไม่เห็น แต่ชั้นนอกที่ต้องใช้ส่งของยังต้องเปิดให้อ่าน

อ่านตารางแล้วจะเห็นสามเรื่อง หนึ่ง HTTPS ปิดสิ่งที่สำคัญที่สุดแล้ว คือเนื้อหา รหัสผ่าน และหน้าที่เราเปิด คนบน Wi‑Fi เดียวกันรู้ได้แค่ว่าเราเข้า “เว็บธนาคาร” แต่ไม่รู้ว่าโอนเงินให้ใครเท่าไร สอง ชื่อเว็บยังรั่วได้สองทาง คือคำถาม DNS ที่ไม่เข้ารหัส และช่อง SNI ที่เบราว์เซอร์บอกชื่อเว็บตอนเริ่มเชื่อมต่อ HTTPS (มาตรฐาน Encrypted Client Hello หรือ ECH กำลังทยอยปิดช่องนี้ แต่ต้องรองรับทั้งเว็บและเบราว์เซอร์) สาม VPN ไม่ได้ทำให้ความลับหายไป แค่ย้ายคนที่เห็น จาก ISP ไปเป็นผู้ให้บริการ VPN จึงต้องเลือกผู้ให้บริการที่ไว้ใจได้จริง

Wi‑Fi สาธารณะมีความเสี่ยงเพิ่มอีกชั้น เพราะเราไม่รู้ว่าใครเป็นเจ้าของ คนร้ายอาจตั้งฮอตสปอตชื่อเหมือนร้าน (evil twin) แล้วเป็น “ISP ตัวปลอม” ของเราเอง เขาเห็นทุกอย่างที่ ISP เห็น และยังแจกค่า DNS ของตัวเองให้เครื่องเราได้ด้วย ข่าวดีคือ HTTPS ที่ไม่กดผ่านคำเตือน บวก DNS เข้ารหัส ปิดความเสี่ยงส่วนใหญ่ได้ รายละเอียดเรื่องนี้อยู่ในบท มือถือ & Wi‑Fi สาธารณะ

คราวนี้มาวางภาพใหญ่ ถ้าย้อนกลับไปดูเส้นทางใน FIG 02 ทุกด่านมีจุดเสี่ยงของตัวเอง และก็มีด่านป้องกันของตัวเองเช่นกัน บางด่านเราคุมได้เอง บางด่านเป็นงานของผู้ให้บริการ แต่ทุกด่านมีคนรับผิดชอบ

เมื่อต้องใช้เครือข่ายที่ไม่ไว้ใจ เช่น Wi‑Fi สนามบิน โรงแรม หรือห้าง ทำตามลำดับนี้

1. ดูให้แน่ว่าเป็นเครือข่ายของจริง

   ถามพนักงานว่าชื่อ Wi‑Fi ที่ถูกต้องคืออะไร ระวังชื่อที่คล้ายกันหลายชื่อ และปิดการเชื่อมต่อ Wi‑Fi อัตโนมัติกับชื่อที่เคยใช้

2. เปิด DNS เข้ารหัสในเครื่อง

   ตั้ง “Secure DNS” ในเบราว์เซอร์ หรือ “Private DNS” ในมือถือ Android ให้คำถามชื่อเว็บไม่วิ่งเป็นข้อความเปิดบนเครือข่ายนั้น

3. ห้ามกดผ่านคำเตือนใบรับรอง

   ถ้าเบราว์เซอร์บอกว่าการเชื่อมต่อไม่ปลอดภัยหรือใบรับรองไม่ถูกต้อง ให้ปิดหน้านั้นทันที โดยเฉพาะเว็บธนาคารและอีเมล นี่คือสัญญาณเดียวกับที่ช่วยคนที่ระวังในเหตุ MyEtherWallet

4. ใช้ VPN ที่ไว้ใจได้ หรือแชร์เน็ตจากมือถือ

   ถ้าต้องทำธุระสำคัญ เน็ตมือถือของเราเองมักไว้ใจได้กว่า Wi‑Fi สาธารณะ หรือใช้ VPN ขององค์กรหรือผู้ให้บริการที่เชื่อถือได้

5. ทำธุรกรรมสำคัญผ่านแอปทางการ

   แอปธนาคารจริงตรวจใบรับรองเข้มงวดกว่าที่คนเราตรวจด้วยตา และแจ้งเตือนเมื่อมีอะไรผิดปกติ

10สรุปให้จำ Recap

อินเทอร์เน็ตคือการส่งพัสดุชิ้นเล็กผ่านมือคนแปลกหน้าจำนวนมาก เราเลือกมือที่แตะพัสดุไม่ได้ทั้งหมด แต่เลือกได้ว่าจะปิดผนึก ตรวจป้าย และล็อกประตูบ้านของเราหรือไม่

• ข้อมูลเดินทางเป็นแพ็กเก็ต ผ่านหลายด่านที่เราไม่ได้เป็นเจ้าของ จึงต้องเข้ารหัสด้วย HTTPS เสมอ
• IP คือเลขที่ตึก พอร์ตคือเลขห้อง ห้องที่เปิดอยู่คือประตูที่ต้องเฝ้า ปิดห้องที่ไม่ใช้
• DNS คือป้ายบอกทางก่อนทุกการเดินทาง ป้องกันด้วย DNS เข้ารหัส DNSSEC และการไม่กดผ่านคำเตือนใบรับรอง
• TCP ครบแต่ช้ากว่า UDP เร็วแต่ไม่ตรวจ และการโจมตีกับการป้องกันแต่ละแบบอยู่คนละชั้น
• NAT ไม่ใช่ไฟร์วอลล์ เปลี่ยนรหัสแอดมิน อัปเดตเฟิร์มแวร์ และปิดการจัดการจากภายนอกของเราเตอร์
• HTTPS ปิดเนื้อหา แต่ไม่ปิดทุกอย่าง ISP ยังเห็นปลายทาง เวลา และปริมาณ VPN แค่ย้ายคนที่เห็น

ลองทบทวนดู