วิธีตั้งค่า OpenVPN Access Server บน Ubuntu เพื่อสร้างเครือข่ายส่วนบุคคลแบบปลอดภัย

Overview — Overview

OpenVPN Access Server (AS) เป็นโซลูชัน VPN ที่ติดตั้งง่ายและให้ UI สำหรับจัดการผู้ใช้ และ เครือข่ายได้อย่างเต็มรูปแบบ การตั้งค่าบน Ubuntu ทำให้คุณสามารถสร้างเครือข่ายส่วนบุคคล (Private Network) ปลอดภัยเพื่อเชื่อมต่ออุปกรณ์หลายเครื่องโดยไม่ต้องกังวลเรื่องข้อมูลรั่วไหล

การทำตามขั้นตอนนี้จะช่วยให้คุณได้ เซิร์ฟเวอร์ VPN ที่พร้อมใช้งาน ภายในไม่กี่นาที และสามารถขยายผู้ใช้ได้ตามความต้องการ

Preparation — Preparation

ก่อนเริ่มติดตั้ง ควรตรวจสอบสภาพแวดล้อมพื้นฐานของระบบ Ubuntu เพื่อหลีกเลี่ยงปัญหาในภายหลัง

• ตรวจสอบเวอร์ชัน Ubuntu (รองรับ 18.04 ขึ้นไป)
• ปิดหรือถอนการติดตั้งไฟร์วอลล์/iptables ที่อาจขัดขวางพอร์ต 443 และ 1194
• จัดสรร IP สาธารณะหรือใช้ DNS ชี้ไปยังเซิร์ฟเวอร์ของคุณ

**Tip: หากทำบน VM ให้เปิด “Bridged Adapter” เพื่อให้ VPN สามารถรับส่งข้อมูลผ่านเครือข่ายภายนอกได้อย่างเต็มที่

Install OpenVPN Access Server — Installation

การติดตั้งใช้สคริปต์จากผู้พัฒนา ทำให้ขั้นตอนเหลือเพียงไม่กี่คำสั่ง

• ดาวน์โหลดและรันสคริปต์ติดตั้ง
• `wget https://as-repo.openvpn.net/as/debian/openvpn-as-repo.gpg`
• `apt-key add openvpn-as-repo.gpg`
• `add-apt-repository "deb http://as-repo.openvpn.net/as/ubuntu focal main"`
• อัปเดตแพ็กเกจและติดตั้ง
• `apt update && apt install openvpn-as`

ระบบจะสร้างผู้ใช้เริ่มต้นชื่อ admin พร้อมรหัสผ่านที่สุ่มขึ้นมา (สามารถดูได้จากไฟล์ `/usr/local/openvpn_as/init.log`)

Initial Configuration via Web UI — Initial Setup

หลังการติดตั้ง ให้ทำการกำหนดค่าเบื้องต้นผ่านเว็บอินเทอร์เฟซเพื่อความสะดวก

• เข้าถึง UI ด้วย URL `https://<IP‑address>:943/admin`
• ลงชื่อเข้าใช้ด้วยผู้ใช้ admin และรหัสผ่านจาก log
• เปลี่ยนรหัสผ่าน admin เป็นค่าที่คุณกำหนดเอง
• ตั้งค่า Authentication Method (Local Database หรือ LDAP) ตามความต้องการขององค์กร

Tip: หากเปิดใช้งาน Two‑Factor Authentication (2FA) จะเพิ่มระดับความปลอดภัยอย่างมาก

Create Users & Groups — User Management

จัดการผู้ใช้และกลุ่มช่วยให้คุณควบคุมสิทธิ์เข้าถึงเครือข่ายได้ละเอียด

• ไปที่เมนู *User Permissions*
• เพิ่มผู้ใช้ใหม่ด้วยปุ่ม Add User
• ระบุ Username, Password และกำหนด Group Membership (เช่น `dev`, `admin`)
• สร้างกลุ่มในเมนู *Groups* เพื่อรวมสิทธิ์เข้าถึงหลาย ๆ ผู้ใช้

โดยทั่วไปคุณอาจต้องการสองระดับพื้นฐาน:

• Standard Users – เข้าถึงเครือข่ายภายในเท่านั้น
• Privileged Users – มีสิทธิ์จัดการเซิร์ฟเวอร์และดูบันทึก

Configure Network Settings — Network Config

ตั้งค่าเครือข่ายให้เหมาะกับโครงสร้างขององค์กรเพื่อให้แพ็กเก็ตไหลผ่านอย่างราบรื่น

• ไปที่เมนู *VPN Settings* *Routing*
• เปิด Redirect Internet Traffic หากต้องการให้ผู้ใช้เชื่อมต่ออินเทอร์เน็ตผ่าน VPN (เพิ่มความปลอดภัย)
• กำหนด Subnet ของเครือข่ายภายใน เช่น `10.8.0.0/24` เป็น IP pool สำหรับคลายเอนด์

• ตั้งค่า DNS ให้ใช้เซิร์ฟเวอร์ภายในหรือ Public DNS ที่เชื่อถือได้ (Google 8.8.8.8 หรือ Cloudflare 1.1.1.1) เพื่อให้การแปลงชื่อโดเมนทำงานเร็วและปลอดภัย

Connect Clients — Client Connection

ขั้นตอนสุดท้ายคือให้ผู้ใช้เชื่อมต่อจากอุปกรณ์ของตน

• ดาวน์โหลดไฟล์คอนฟิก `.ovpn` จากเมนู *User Portal* (`https://<IP>:943/`)
• นำไฟล์ไปวางในแอป OpenVPN Connect (Windows, macOS, Android, iOS) หรือใช้ OpenVPN GUI บน Linux

การเชื่อมต่อควรตรวจสอบว่าได้ IP จากช่วงที่กำหนด (`10.8.x.x`) และสามารถ ping ไปยังทรัพยากรภายในองค์กรได้

Tip: หากต้องการให้ผู้ใช้ไม่ต้องพิมพ์ชื่อผู้ใช้/รหัสผ่านทุกครั้ง ให้เปิดใช้งาน Certificate‑Based Authentication** ในเมนู *User Permissions* *Authentication*

Security Tips — Security Tips

แม้ OpenVPN AS จะมีระบบรักษาความปลอดภัยในตัว แต่การเสริมจุดอ่อนเพิ่มเติมยังคงจำเป็น

• ปรับค่า Cipher เป็น `AES‑256‑GCM` และ TLS Version ให้ใช้ `1.2` หรือสูงกว่า
• ตั้งเวลา Session Timeout ที่เหมาะสม (เช่น 12 ชม.) เพื่อลดโอกาสการเจาะระบบจากเซสชันที่ค้างอยู่
• เปิดใช้งาน Fail2Ban เพื่อบล็อก IP ที่พยายามเข้าสู่ระบบผิดหลายครั้ง

Troubleshooting Common Issues — Troubleshooting

หลายครั้งปัญหาเกิดจากการตั้งค่าเครือข่ายหรือไฟร์วอลล์ที่ไม่สอดคล้อง

• ไม่สามารถเชื่อมต่อได้
• ตรวจสอบว่า port `443` (HTTPS) และ `1194/UDP` เปิดอยู่บน firewall (`ufw allow 443/tcp`, `ufw allow 1194/udp`)
• ไคลเอนท์รับ IP ไม่ได้
• ยืนยันว่าการกำหนด subnet ใน *VPN Settings* ไม่ชนกับเครือข่ายภายในองค์กร
• การเชื่อมต่อช้า
• ตรวจสอบ MTU ของอุปกรณ์ (`ifconfig` `mtu`) ปรับค่าในไฟล์ `.ovpn` เป็น `mssfix 1400`

Summary — Summary

• เตรียมระบบ Ubuntu ให้พร้อมและปิดไฟร์วอลล์ที่ขัดขวางพอร์ตสำคัญ
• ติดตั้ง OpenVPN Access Server ด้วยสคริปต์เดียว แล้วเข้าสู่เว็บ UI เพื่อกำหนดค่าเบื้องต้น
• สร้างผู้ใช้/กลุ่ม กำหนดนโยบายเครือข่าย (routing, DNS) ตามความต้องการขององค์กร
• แจกไฟล์ `.ovpn` ให้ผู้ใช้เชื่อมต่อ และตรวจสอบว่าได้รับ IP จาก pool ที่ตั้งไว้
• ปรับค่า Cipher, TLS Version, Session Timeout และเปิด Fail2Ban เพื่อเสริมระดับความปลอดภัย

**สิ่งที่ควรจำ: การตั้งค่าที่ถูกต้องตั้งแต่แรกและการบำรุงรักษาอย่างสม่ำเสมอจะทำให้เครือข่าย VPN ของคุณปลอดภัย ปลอดภัยต่อการโจมตี และพร้อมรองรับผู้ใช้จำนวนมากโดยไม่มีปัญหาเรื่องประสิทธิภาพ.