- RouterSecurity.org มองว่า โมเด็ม·เราเตอร์ที่ซื้อใช้เอง ปลอดภัยกว่าอุปกรณ์ที่ ISP จัดให้ โดยเห็นว่าความเสี่ยงหลักคือการตั้งค่าเริ่มต้น การบำรุงรักษา การจัดการจากระยะไกล และการขาดการควบคุมเฟิร์มแวร์
- อุปกรณ์ของ ISP อาจใช้การตั้งค่าที่ เน้นความสะดวก เพื่อลดต้นทุนฝ่ายสนับสนุนทางเทคนิค และรหัสผ่านเริ่มต้น, DNS ที่ล็อกไว้, การอัปเดตเฟิร์มแวร์ที่ล็อกไว้, และ Wi‑Fi สาธารณะ อาจทำให้ผู้ใช้มีอำนาจควบคุมน้อยลง
- จากกรณีของ Sky, Virgin Media, Comcast, Verizon, TalkTalk, EE และ Deutsche Telekom พบปัญหาซ้ำๆ เช่น DNS rebinding, ข้อมูลรั่วไหล, ช่องโหว่ WPS, บัญชีแบ็กดอร์, การเปิดเผย TR-069 และข้อมูลยืนยันตัวตนเริ่มต้น
- ในพื้นที่อย่างสหรัฐฯ ที่ตลาดอินเทอร์เน็ตความเร็วสูงมีลักษณะเป็น กึ่งผูกขาด มีมุมมองว่า ISP มีแรงจูงใจน้อยที่จะจัดหาอุปกรณ์หรือความปลอดภัยที่ดีกว่า โดยบันทึกเดือนตุลาคม 2024 ระบุเงื่อนไขว่ามุมมองนี้อาจใช้ได้เฉพาะกับสหรัฐฯ
- หากใช้อุปกรณ์ของตนเอง ผู้ใช้จะควบคุมเฟิร์มแวร์, DNS, อุปกรณ์สำรอง และการเลือกเราเตอร์ได้ แต่เพราะเลือกผลิตภัณฑ์ที่สมบูรณ์แบบได้ยากตั้งแต่แรก การซื้อจากที่ที่ คืนสินค้าได้ จึงเป็นทางเลือกที่ใช้ได้จริง
เหตุผลที่แนะนำให้ซื้อโมเด็มและเราเตอร์ใช้เอง
- มีจุดยืนว่าการตั้งค่าที่ปลอดภัยที่สุดคือหลีกเลี่ยงอุปกรณ์ของ ISP และใช้ โมเด็มและเราเตอร์ที่ซื้อเอง
- มองว่าอุปกรณ์ที่ ISP จัดให้มีความเสี่ยงดังต่อไปนี้
- อาจมีความ หละหลวมโดยรวม ตั้งแต่การตั้งค่าเริ่มต้นไปจนถึงการบำรุงรักษาอย่างต่อเนื่อง
- อุปกรณ์ที่ติดตั้งมาพร้อมรหัสผ่านเริ่มต้นถูกตีความได้ว่า ISP ไม่ให้ความสำคัญกับความปลอดภัยของผู้ใช้มากพอ
- ความปลอดภัยกับความสะดวกขัดแย้งกัน และ ISP มีแนวโน้มจะตั้งค่าเราเตอร์โดยเน้นความสะดวกเพื่อลดต้นทุนฝ่ายสนับสนุนทางเทคนิค
- อุปกรณ์รุ่นเดียวกันที่แจกจ่ายให้ลูกค้านับล้านรายกลายเป็น เป้าหมายขนาดใหญ่ สำหรับผู้โจมตีและผู้เฝ้าระวัง
- มองว่าการใช้อุปกรณ์ที่ไม่เป็นที่นิยมมากนักปลอดภัยกว่า
อุปกรณ์ของ ISP ที่จำกัดอำนาจควบคุมของผู้ใช้
- อุปกรณ์ของ ISP บางรุ่นถูก ล็อก ไม่ให้ผู้ใช้เปลี่ยนการตั้งค่าหลักได้
- เคยมีกรณีที่เปลี่ยนรหัสผ่านไม่ได้
- ก็มีกรณีที่เปลี่ยน DNS server ไม่ได้ โดยยกตัวอย่าง BT Business Hub และ Sky Broadband ในสหราชอาณาจักร รวมถึงหลายพื้นที่ในฝรั่งเศส
- ในเกตเวย์ Arris TG1682G ที่ Comcast จัดให้ ไม่สามารถเปลี่ยนที่อยู่ IP ของ LAN ได้ และแม้จะเปลี่ยน subnet หมายเลขอุปกรณ์ก็ยังคงเป็นเลข 1 เสมอ
- ฟังก์ชันอัปเดตเฟิร์มแวร์ก็อาจถูกล็อกเช่นกัน และมองว่าผู้ใช้ควรควบคุม การอัปเดตเฟิร์มแวร์ ได้อย่างสมบูรณ์
- ปกติ ISP จะให้อุปกรณ์มาเพียงตัวเดียว ดังนั้นเมื่อเสียก็อาจต้องออฟไลน์จนกว่าจะได้รับเครื่องทดแทน
- หากเป็นเจ้าของอุปกรณ์เอง ก็สามารถเตรียมโมเด็มหรือเราเตอร์สำรองไว้ใช้ยามฉุกเฉินได้
- ในระยะยาว การซื้ออุปกรณ์ใช้เองอาจถูกกว่า
- ISP บางรายคิดค่าเช่าโมเด็มหรือเกตเวย์
- มีการยกตัวอย่างรายชื่อโมเด็มที่ลูกค้า Time Warner ซื้อได้ และ mydeviceinfo.comcast.net ของ Comcast
แรงจูงใจของ ISP ในการเลือกอุปกรณ์ และเงื่อนไขเฉพาะของตลาดสหรัฐฯ
- บันทึกเดือนตุลาคม 2024 ระบุว่าการประเมินนี้เป็น มุมมองของผู้ใช้ในสหรัฐฯ และอาจใช้กับนอกสหรัฐฯ ไม่ได้ตรงตัว
- มองว่าสหรัฐฯ กำลังเผชิญการกระจุกตัวของบริษัทยักษ์ใหญ่ในหลายอุตสาหกรรม และ ISP ก็อยู่ในแนวโน้มนั้น
- มองว่าผู้ใช้ชาวอเมริกันจำนวนมาก และอาจรวมถึงส่วนใหญ่ ใช้ ISP เพียงรายเดียว
- หลายพื้นที่ในสหรัฐฯ มีสภาพใกล้เคียง กึ่งผูกขาด ในการเข้าถึงอินเทอร์เน็ตความเร็วสูง
- ISP ที่อยู่ในสภาพกึ่งผูกขาดมีแรงจูงใจน้อยที่จะให้บริการที่ดี และลูกค้าก็แทบไม่มีทางเลือก
- เพราะเป้าหมายของ ISP คือทำกำไร จึงคาดว่าจะจัดหา hardware ที่ถูกที่สุดและทำงานได้เท่าที่จำเป็น
- การเพิ่มความปลอดภัยทำให้สายสนับสนุนโทรเข้ามามากขึ้น และต้นทุนนั้นตกกับ ISP จึงยากที่ความปลอดภัยจะกลายเป็นลำดับความสำคัญ
- คำตอบหนึ่งในฟอรัมการเงินเมื่อเดือนมิถุนายน 2022 ซึ่งอ้างอิงประสบการณ์ขายอุปกรณ์เครือข่ายให้บริษัทโทรคมนาคมและเคเบิล ระบุว่าลำดับความสำคัญของอุปกรณ์ฝั่งลูกค้าคือ “ต้นทุน, การจัดการระยะไกล, ต้นทุน”
- ข้อความนี้ถูกสรุปใหม่ว่า ISP ต้องการ เราเตอร์ที่ราคาถูกและควบคุมได้
ความกังวลเรื่อง Wi‑Fi สาธารณะ การสอดส่อง และการเก็บข้อมูล
- ISP หลายรายพยายามทำ เครือข่าย Wi‑Fi สาธารณะ ผ่านอุปกรณ์ภายในบ้านลูกค้า และไม่มีเหตุผลให้เชื่อโดยอัตโนมัติว่าทำได้อย่างปลอดภัย
- บทความวิจารณ์ Comcast XFINITY WiFi: Comcast XFINITY WiFi: Just say no
- Cablevision ก็ทำแบบเดียวกัน และ Timothy Geigner เขียนในทำนองว่าหากเป็นลูกค้า Cablevision ก็ควรซื้อเราเตอร์และโมเด็มใช้เอง
- Juniper Research เรียกอุปกรณ์ลักษณะนี้ว่า “homespot router”
- มีกรณีที่ ISP ร่วมมือกับหน่วยงานสอดแนมหรือรัฐบาล และยังมองว่าแม้ไม่มีแรงกดดันจากภายนอก ก็อาจใส่แบ็กดอร์ไว้ในอุปกรณ์ลูกค้าได้
- Your ISP is Probably Spying On You ของ Harrison Sand กล่าวถึงกรณีที่เราเตอร์เก็บข้อมูลอุปกรณ์ฝั่ง LAN แล้วส่งกลับไปยัง ISP
ตัวอย่างช่องโหว่ที่เกิดซ้ำในอุปกรณ์ของ ISP
- เดือนพฤษภาคม 2023 ลูกค้า Spectrum ได้รับ เราเตอร์ที่มีแมลงสาบอยู่ข้างใน ซึ่งไม่ใช่ปัญหาด้านความปลอดภัย แต่ถูกยกมาเป็นตัวอย่างของระดับการดูแลอุปกรณ์ลูกค้า
- เดือนพฤศจิกายน 2021 มีการเปิดเผยช่องโหว่ DNS rebinding ในเราเตอร์ Sky จำนวน 6 ล้านเครื่อง
- Sky ใช้เวลา 18 เดือนในการแก้ปัญหา และมีการกล่าวหาว่ามักเพิกเฉยต่อ Pen Test Partners ซึ่งเป็นผู้ค้นพบช่องโหว่
- บทความที่เกี่ยวข้อง: SkyFail. 6 million routers left exposed
- เดือนกันยายน 2021 มีรายงานว่า Virgin Media ไม่ได้แก้ช่องโหว่ของเราเตอร์นานกว่า 2 ปี
- บทความที่เกี่ยวข้อง: Virgin Media Routers Left VPN Users Vulnerable Since at Least 2019
- การนำเสนอใน BlackHat เดือนสิงหาคม 2021 กล่าวถึงปัญหาที่ ISP บางรายยังคงใส่ MAC address ไว้ในที่อยู่ IPv6 สาธารณะ
- นักวิจัยพบเราเตอร์·เกตเวย์มากกว่า 12 ล้านเครื่องที่มี MAC address รวมอยู่
- ในสหรัฐฯ พบว่าเกตเวย์เราเตอร์ Comcast Xfinity มากกว่า 1 ล้านเครื่องมีข้อบกพร่องด้านการออกแบบนี้
- ในปี 2019 Sky Broadband ทำให้ลูกค้าบางส่วนออฟไลน์จากการอัปเดต broadband hub โดยเฉพาะลูกค้าที่ตั้งค่า DNS server อื่นนอกเหนือจากของ Sky
- มีการระบุว่าการอัปเดตล่าสุดดูเหมือนจะลบฟังก์ชันการเปลี่ยน DNS server ออกไปด้วย
กรณีของ Comcast, Verizon, TalkTalk และ EE
- ช่องโหว่บนเว็บไซต์ Comcast ในปี 2018 สามารถเปิดเผย ที่อยู่บ้าน, ชื่อเครือข่าย Wi‑Fi และรหัสผ่าน Wi‑Fi ของลูกค้า Xfinity ได้
- ผู้โจมตีเพียงแค่ต้องรู้หมายเลขบัญชีลูกค้าและหมายเลขบ้านหรือห้องชุด
- ปัญหานี้กระทบเฉพาะลูกค้าที่ใช้อุปกรณ์ของ Comcast ส่วนผู้ที่ใช้เราเตอร์ของตัวเองปลอดภัย
- ผู้โจมตียังสามารถเปลี่ยน SSID หรือรหัสผ่าน Wi‑Fi ได้อีกด้วย
- เดือนมิถุนายน 2018 ยังมีการเปิดเผยข้อมูลอีกรายการหนึ่ง โดยอุปกรณ์ใดๆ ในเครือข่ายลูกค้า Comcast สามารถเรียก API เพื่อดูหมายเลขบัญชี, ที่อยู่บ้าน, ประเภทบัญชี และข้อมูลบริการที่ใช้งานอยู่ได้
- เดือนธันวาคม 2018 Tenable พบช่องโหว่ 3 รายการในเราเตอร์·เกตเวย์ Verizon FIOS
- Verizon ไม่ได้เขียนเฟิร์มแวร์เอง จึงต้องมอบงานแก้ไขให้ภายนอก และการรับมือกับบั๊กก็แยกกันหลายกลุ่ม
- มีบั๊กที่รู้กันอยู่แล้วแต่ยังไม่แก้ และระบุว่าไม่มีแผนจะแจ้งให้สาธารณะทราบด้วย
- เดือนพฤษภาคม 2018 ยืนยันว่าเราเตอร์ TalkTalk มีช่องโหว่ต่อ การโจมตีด้วย WPS PIN code ซึ่งเป็นปัญหาที่รู้จักกันมาตั้งแต่ปี 2011
- เดือนตุลาคม 2018 เกตเวย์ 4GEE HH70 ของ EE มี บัญชีแบ็กดอร์ ที่เข้าถึงได้ผ่าน SSH จากฝั่ง LAN
- ตอนแรก EE เพิกเฉยต่อปัญหา และเพิ่งเริ่มดำเนินการหลัง The Register เข้ามาเกี่ยวข้อง
- หลังจากนั้นมีแพตช์ออกมา แต่ลูกค้าต้องติดตั้งเฟิร์มแวร์ใหม่ด้วยตนเอง
บอตเน็ต สปายแวร์ และช่องโหว่ในวงกว้าง
- เดือนพฤศจิกายน 2017 มีการพบบอตเน็ตตัวใหม่ที่โจมตีช่องโหว่ในอุปกรณ์ ZyXEL
- สามารถล็อกอินจากระยะไกลได้ด้วย user ID และรหัสผ่านเริ่มต้น และมีพอร์ตเปิดทิ้งไว้
- ยังมีรหัสผ่าน superuser แบบ hardcoded ที่ทำให้ผู้โจมตีได้สิทธิ์ root
- อุปกรณ์ที่ติดเชื้อมีราว 100,000 เครื่อง และเกือบทั้งหมดอยู่ในเครือข่าย Telefonica de Argentina
- เดือนกันยายน 2017 ESET รายงานว่า ISP บางรายในสองประเทศที่ไม่เปิดเผยชื่อ ดูเหมือนจะร่วมมือในการกระจายสปายแวร์ FinFisher
- วิธีการคือเมื่อผู้ใช้เป้าหมายพยายามดาวน์โหลดแอปปกติอย่าง WhatsApp, Skype, Avast, WinRAR หรือ VLC Player ก็จะถูก redirect ไปยังเวอร์ชันที่ฝังมัลแวร์
- รูปแบบการโจมตีบ่งชี้อย่างมากว่าเป็นการโจมตีแบบ man-in-the-middle ในระดับ ISP
- ใน DEF CON 25, Marc Newlin, Logan Lamb และ Chris Grayson ประกาศว่าพบ 26 บั๊ก ในเกตเวย์และ set-top box ที่ ISP จัดให้
- มีทั้งอุปกรณ์ของ Cisco, Arris, Technicolor, Motorola และ Xfinity
- ในจำนวนนี้มีช่องโหว่ remote code execution แบบไม่ต้องยืนยันตัวตนหลายรายการ
- มีการระบุว่าการกระจายแพตช์ใช้เวลาหลายเดือน ไม่มีการส่งรายงานบั๊กอย่างเป็นทางการ และลูกค้าไม่ได้รับแจ้งปัญหา
- เอกสารของ Trend Micro ปี 2017 แนะนำว่า จุดเริ่มต้นของความปลอดภัยเราเตอร์ภายในบ้านคือการหลีกเลี่ยงเราเตอร์ฟรีที่รวมมากับแพ็กเกจอินเทอร์เน็ต
ปัญหาการตั้งค่าเริ่มต้นและแบ็กดอร์ในอดีต
- ปี 2016 Scott Helme มองว่าเกณฑ์หลักในการเลือกอุปกรณ์ของ ISP คือ ต้นทุน และต้นทุนต่ำอาจหมายถึงคุณภาพต่ำในด้านอื่นนอกเหนือจาก hardware เช่นความปลอดภัย
- เขายกตัวอย่างช่องโหว่ร้ายแรงในเราเตอร์ EE BrightBox และช่องโหว่ที่ยังคงอยู่แม้หลังแพตช์ล่าช้า
- เดือนตุลาคม 2016 ISP รายหนึ่งในออสเตรเลียแจกจ่ายเราเตอร์ที่มี user ID·รหัสผ่านเริ่มต้น และ SSID ที่คล้ายกันมาก
- ปี 2015 Lucian Constantin เขียนว่าความปลอดภัยของเราเตอร์ที่ ISP จัดให้นั้นมักแย่กว่าผลิตภัณฑ์ที่ขายทั่วไป
- หากเปิดการจัดการจากระยะไกลไว้ อินเทอร์เฟซสำหรับผู้ดูแลระบบและช่องโหว่อาจถูกเปิดเผยสู่สาธารณะบนอินเทอร์เน็ต
- แม้ ISP จะสามารถอัปเดตเฟิร์มแวร์จากระยะไกลได้ แต่ก็มักไม่ได้ทำบ่อย และผู้ใช้ก็อาจอัปเดตเองไม่ได้เพราะสิทธิ์การเข้าถึงถูกจำกัด
- ปี 2015 Bernardo Rodrigues เขียนว่าเกตเวย์ Arris TG862A, TG860A และ DG860A มี XSS, CSRF, รหัสผ่านแบบ hardcoded และ แบ็กดอร์ซ้อนแบ็กดอร์
- อาจมีการใช้อินเทอร์เฟซ HTTP ที่ซ่อนไว้หรือ custom SNMP MIB เพื่อเปิด Telnet และ SSH จากระยะไกล
- ประเมินว่ามีอุปกรณ์ที่มีช่องโหว่และเข้าถึงได้จากภายนอกมากกว่า 600,000 เครื่อง
- Verizon ยังคงจัดส่งเราเตอร์ให้ลูกค้าใหม่ด้วย การตั้งค่าเริ่มต้นเป็น WEP ทั้งที่เป็นที่รู้กันมานานแล้วว่า WEP ไม่ปลอดภัย
- FTC ส่งจดหมายในปี 2014 เพื่อสอบถามว่า Verizon ได้ปกป้องเราเตอร์ที่จัดให้ลูกค้า DSL และ FiOS อย่างสมเหตุสมผลและเหมาะสมหรือไม่
- WEP เป็นมาตรฐานที่ IEEE เลิกใช้ตั้งแต่ปี 2004 เพื่อเปิดทางให้ WPA และต่อมาคือ WPA2
TR-069 และการเปิดเผยการจัดการจากระยะไกล
- การตั้งค่าระยะไกลของเราเตอร์·โมเด็มที่ ISP จัดให้ถูกมองว่าเป็นประเด็นด้านความปลอดภัยขนาดใหญ่
- หนึ่งในกลไกอัปเดตจากระยะไกลคือ TR-069 หรือ CWMP
- ช่องโหว่ในโปรโตคอลนี้ถูกโจมตีมาแล้วหลายครั้ง
- เดือนพฤศจิกายน 2016 ลูกค้า Deutsche Telekom ราว 900,000 รายออฟไลน์เพราะปัญหาของเราเตอร์
- การโจมตีเริ่มจากสายพันธุ์หนึ่งของ Mirai และมีการชี้ว่าปัญหาคือ ISP ไม่ได้ป้องกันพอร์ต TCP/IP ที่เปิดทิ้งไว้
- เราเตอร์ที่ ISP จัดให้บางรุ่นรันเซิร์ฟเวอร์ TR-064 ที่เปิดสู่สาธารณะบนอินเทอร์เน็ต ซึ่งถูกมองว่าเป็นความผิดพลาดด้านการตั้งค่าครั้งใหญ่
- เดือนเมษายน 2017 Wordfence เขียนว่าไม่ควรปล่อยให้เข้าถึง พอร์ต 7547 ของเราเตอร์ได้จากอินเทอร์เน็ตสาธารณะ
- Shodan รายงานว่ามีเราเตอร์ตามบ้านมากกว่า 41 ล้านเครื่องที่เปิดพอร์ต 7547 สู่สาธารณะบนอินเทอร์เน็ต
- พบเราเตอร์บ้านที่ติดเชื้อมากกว่า 10,000 เครื่องในแอลจีเรีย และมากกว่า 11,000 เครื่องในอินเดีย พร้อมเชื่อมโยงเข้ากับการเปิดเผยพอร์ต 7547
- ปี 2014 Lucian Constantin เขียนว่าเราเตอร์บ้านที่ ISP จัดให้อาจถูกเจาะในวงกว้างได้
- ระบุว่าในปี 2011 มีอุปกรณ์ที่เปิดใช้ TR-069 จำนวน 147 ล้านเครื่องรับการเชื่อมต่ออยู่บนพอร์ต TCP 7547
- Shahar Tal ของ Check Point มองว่าเซิร์ฟเวอร์ ACS ถูกยึดครองได้ง่าย
- แม้ข้อกำหนด TR-069 จะแนะนำให้ใช้ HTTPS แต่ราว 80% ใช้ HTTP ที่ไม่ปลอดภัย ทำให้เสี่ยงต่อการโจมตีแบบ man-in-the-middle
AT&T U-Verse และพอร์ตเปิดอื่นๆ
- ปัญหาพอร์ตเปิดไม่ได้จำกัดอยู่แค่ TR-069
- เดือนกันยายน 2017 Nomotion กล่าวถึงพอร์ตเปิดสองพอร์ตในอุปกรณ์เกตเวย์ AT&T U-Verse
- หนึ่งในนั้นคือ SSH และพอร์ต TCP 49152 ถูกระบุว่าทำให้ผู้โจมตีจากฝั่ง WAN สามารถข้ามไฟร์วอลล์ได้
- ยังพบบัญชีแบ็กดอร์แบบ hardcoded 3 บัญชีด้วย
- ชื่อบทความที่เกี่ยวข้องคือ SharknAT&To
- มีการกล่าวว่า AT&T ไม่พูดถึงปัญหาความปลอดภัยอยู่ 2 สัปดาห์แม้ถูกเปิดโปงต่อสาธารณะ และ Arris ก็เงียบหลังจากบอกว่าจะตรวจสอบ
- HD Moore จาก Rapid7 มองว่า ISP บางรายทำให้สถานการณ์เลวร้ายลงด้วยการกระจายอุปกรณ์บรอดแบนด์อย่างเราเตอร์บ้านโดยไม่ได้ตรวจสอบให้เพียงพอหรือกำหนดค่าความปลอดภัยอย่างเหมาะสม
ความซื่อสัตย์ ความเร็ว และการเลือกอุปกรณ์
- นอกเหนือจากความปลอดภัย ยังมีการตั้งคำถามเรื่อง ความซื่อสัตย์ ของ ISP
- Time Warner Cable หรือก็คือ Spectrum และ Charter ถูกฟ้องในรัฐนิวยอร์กเมื่อปี 2017 ฐานโกหกลูกค้าเกี่ยวกับความเร็วในการดาวน์โหลดที่จัดให้
- Susan Crawford เขียนว่าสิ่งที่บริษัทพูดกับชาวนิวยอร์กเกี่ยวกับการเข้าถึงอินเทอร์เน็ตและบริการข้อมูลแทบทั้งหมดตั้งแต่ปี 2012 ดูเหมือนจะไม่เป็นความจริง
- สมาชิก 2.5 ล้านรายในนิวยอร์กถูกบอกว่าจะได้ความเร็วดาวน์โหลด·อัปโหลดสูงกว่าที่ได้รับจริง
- วิธีที่ Charter/Spectrum/Time Warner Cable ใช้ลดความเร็วถูกสรุปไว้ 3 แบบ
- ยัดจำนวนบ้านมากขึ้นลงบนลิงก์ข้อมูลร่วมของย่านที่มีความจุไม่พอ
- บีบการเชื่อมต่อระหว่างเครือข่าย Spectrum กับเครือข่ายอื่น
- กดดันผู้บริโภคที่ควรได้รับอุปกรณ์ในบ้านที่อัปเกรดแล้ว
- คดีนี้ยุติด้วยข้อตกลงเมื่อเดือนธันวาคม 2018 โดย Charter/Spectrum จ่าย 176 ล้านดอลลาร์
- เราเตอร์ mesh สำหรับผู้บริโภคอย่าง eero, AmpliFi และ Google Wifi สามารถรันการทดสอบความเร็วจากตัวเราเตอร์เองได้
- eero ดูเหมือนจะทดสอบความเร็วทุกวัน
- AmpliFi และ Google Wifi เก็บประวัติการทดสอบความเร็ว ทำให้ดูแนวโน้มได้ง่าย
- eero ไม่เก็บประวัติ
- เราเตอร์แต่ละรุ่นแตกต่างกันมาก จึงไม่ควรคาดหวังว่าจะซื้อเราเตอร์ที่ตรงความต้องการได้สมบูรณ์แบบตั้งแต่ครั้งแรก
- หากเป็นไปได้ ควรซื้อเราเตอร์จากที่ที่ คืนสินค้าได้
1 ความคิดเห็น
ความคิดเห็นจาก Hacker News
ก็หวังว่าจะเป็นแบบนั้นนะ ผมมีทั้งโมเด็มและเราเตอร์ของตัวเอง แต่ Comcast ไม่ยอมให้ใช้ เว้นแต่จะจ่าย ค่าธรรมเนียมเพิ่มเติม จำนวนมาก หรือยอมรับเพดานข้อมูลรายเดือนที่ต่ำจนน่าขัน
ดังนั้นผมจึงต้องเอาเราเตอร์ของตัวเองไปต่อหลังอุปกรณ์ของ Comcast ซึ่งน่ารำคาญพอสมควร โดยเฉพาะอุปกรณ์แบบโมเด็ม-เราเตอร์รวมของ Comcast ที่ร้อนเกินไปจนต้องถอดปลั๊กรีบูตเดือนละครั้ง
น่าเสียดายที่บ้านผมใน San Francisco ไม่มีตัวเลือกอื่น ไม่มีสายโทรศัพท์จึงใช้ DSL ไม่ได้ และบริการไฟเบอร์ที่ว่ากำลังเพิ่มขึ้นใน San Francisco ส่วนใหญ่ก็เข้าเฉพาะย่านใจกลางเมืองหรืออพาร์ตเมนต์ใหญ่ ๆ บ้านเดี่ยวของผมไม่มีทั้งไฟเบอร์ใหม่ของ AT&T และ Webpass
สุดท้ายคือ ไม่ใช้ Comcast ก็ไม่มีอินเทอร์เน็ต ว่ากันว่า San Francisco เป็นเมืองหลวงด้านเทคโนโลยีของโลก แต่การเชื่อมต่ออินเทอร์เน็ตกลับแย่กว่าชนบทจีน ผมเคยอยู่ในชนบทและพื้นที่ภูเขาของจีนมานาน ถ้าไม่นับปัญหาไฟร์วอลล์ ทั้งเครือข่ายมือถือและเครือข่ายมีสายดีกว่า San Francisco มาก
น่าเหลือเชื่อที่ในปี 2025 เมืองเทคโนโลยีหลัก ๆ ยังมีปัญหาแบบนี้อยู่
เมื่อก่อนผมต่อไฟเบอร์เข้ากับ Fritz!Box ของผมโดยตรงผ่านโมดูล XGS-PON SFP และตอนนี้ใช้ ONT ของผู้ให้บริการต่อเข้ากับ Unifi Cloud Gateway Max โดย ONT ตัวนี้แทบจะเป็นแค่ media converter ที่แปลงไฟเบอร์เป็นอีเทอร์เน็ตเท่านั้น
ที่นี่มีคนจำนวนมากที่ต่ออุปกรณ์ UDM หรือ OpnSense เข้ากับไฟเบอร์โดยตรงผ่านโมดูล Zaram XGS-PON เช่นกัน น่าเสียดายที่ต้องเจอกับเพดานข้อมูล ส่วนเนเธอร์แลนด์ใช้งานแบบไม่จำกัดมาตลอดตั้งแต่เปลี่ยนจาก 56k6 ไปเป็น ADSL 5G ก็ใช้แบบไม่จำกัดได้ในราคาเดือนละ 25 ยูโร
แต่คงต้องเสริมด้วยว่าเราไม่มีน้ำประปาที่ดื่มได้ จึงต้องใช้น้ำฝน
ผมจ่ายเดือนละ 130 ดอลลาร์สำหรับ 1.4Gbps และข้อมูลไม่จำกัด แพงก็จริง แต่ผมก็ไม่มีตัวเลือกอื่นเหมือนกัน Sonic หยุดอยู่แค่บล็อกข้าง ๆ และผมเกลี้ยกล่อมให้เขาเดินสายมาถึงบล็อกของเราไม่ได้
อาจเป็นเพราะผมใช้แพ็กเกจนี้มาหลายปีแล้วจึงยังคงเงื่อนไขสมาชิกเดิมอยู่ หรือไม่ก็พนักงานขายของ Comcast อาจหลอกเรื่องตัวเลือกก็ได้
ผู้ให้บริการอินเทอร์เน็ตรายใหญ่ ๆ ยังมีข้อตกลงไม่เป็นทางการว่าจะไม่แข่งกันในบางพื้นที่ด้วย เรื่องนี้กระทบทั้งพื้นที่อยู่อาศัยชานเมือง เมือง และชนบท และผมคิดว่าในชนบทหนักกว่ามาก
เมื่อรู้ว่าลูกค้าไม่มีตัวเลือก ก็ไม่มีเหตุผลต้องทุ่มเทกับบริการลูกค้าหรือการปรับปรุง
อินเทอร์เน็ตบนเครือข่ายมือถือช่วยให้หายใจได้บ้างในระดับหนึ่ง แต่ข้อเสียคือถ้าเครือข่ายแออัดก็จะถูกจำกัดความเร็ว และค่า latency โดยรวมก็ไม่ค่อยดี
อินเทอร์เน็ตเทศบาลในอุดมคติที่ผมเคยเห็นคือ EPB ของ Chattanooga, Tennessee ซึ่งให้การเชื่อมต่อ แบบสมมาตร แก่ลูกค้าบ้านตั้งแต่ 1000Mbps ถึง 25,000Mbps https://epb.com/fi-speed-internet/?#choose-your-plan
แพ็กเกจ 1Gbps ถูกกว่า Google Fiber และแพ็กเกจ 2.5Gbps ก็แข่งขันได้ เงินยังคงหมุนเวียนอยู่ในระบบนิเวศท้องถิ่น สร้างงานค่าจ้างสูง และกำไรก็ถูกนำกลับไปลงทุนในเครือข่าย แทนที่จะเอาไปซื้อหุ้นคืนหรือให้ผู้บริหารนั่งเจ็ตส่วนตัวบินไปกลับระยะไกลเพื่อทำงาน
เรื่องอาณานิคมแมลงสาบฟังดูไม่ค่อยยุติธรรมนะ
แมลงชอบความร้อนและเสียงรบกวนจากอุปกรณ์อิเล็กทรอนิกส์ ถ้าอุปกรณ์อิเล็กทรอนิกส์ถูกเก็บไว้นาน ๆ แมลงจากของข้าง ๆ ก็อาจคลานเข้าไปได้
เรื่องนี้เกิดกับเราเตอร์ที่ไม่ใช่อุปกรณ์ของผู้ให้บริการอินเทอร์เน็ตได้เหมือนกัน แน่นอนว่าผมไม่มีสถิติมาสนับสนุนข้ออ้างนี้ แต่อีกฝั่งก็ไม่ได้มีสถิติเหมือนกัน
เราเตอร์โอเพนซอร์สตัวโปรดของคุณก็อาจอยู่ในโกดังมานานกว่าด้วยซ้ำ
ผมมีความคิดซับซ้อนเกี่ยวกับเราเตอร์ของผู้ให้บริการอินเทอร์เน็ตและตัวผู้ให้บริการเอง แต่ การมีแมลงรบกวนในอุปกรณ์อิเล็กทรอนิกส์ เป็นปัญหาร้ายแรง และไม่ใช่ปัญหาที่เกี่ยวข้องกับผู้ให้บริการอินเทอร์เน็ตโดยตรง
แล้วทำไมบนชั้นข้าง ๆ เราเตอร์ใหม่ที่ผมจะซื้อถึงต้องมีอุปกรณ์มือสองอยู่ด้วย?
ถ้าเป็นอุปกรณ์มือสองก็คงพูดได้ว่า “มีความเป็นไปได้ขนาดนั้น” แต่ถ้าผมจะซื้อเราเตอร์ ผมคงไม่ซื้อของมือสอง
บทความที่ลิงก์พูดถึงว่ามี อาณานิคมแมลงสาบเป็น ๆ อยู่ในบรรจุภัณฑ์ที่ส่งมาจากผู้ให้บริการอินเทอร์เน็ต ถ้าบริษัทนั้นไม่สังเกตเห็นเรื่องแบบนี้ แล้วความปลอดภัยของซัพพลายเชนของบริษัทควรถูกมองอย่างไร?
ถ้าคุณได้รับพัสดุที่มีแมลงจากที่ที่ขายอุปกรณ์อิเล็กทรอนิกส์ คุณควรเปลี่ยนซัพพลายเออร์ นั่นไม่ใช่เรื่องปกติ
โชคดีที่ UPS โยนมันทิ้งไว้ในหิมะ และผมเพิ่งเจอหลังจากผ่านไปหลายวัน แมลงสาบเลยแข็งตายหมด ดังนั้นผมจึงไม่แนะนำเราเตอร์ของผู้ให้บริการอินเทอร์เน็ตและอุปกรณ์ที่เกี่ยวข้อง
ในข่าวที่คล้ายกัน หน่วยงานกำกับดูแลของเยอรมนี BNetzA ได้ยืนยันอีกครั้งเมื่อ 2 สัปดาห์ก่อนว่าเครือข่ายออปติคัลแบบพาสซีฟไม่ใช่ข้อยกเว้นของ TKG หรือกฎหมายโทรคมนาคม §73(1) https://www.bundesnetzagentur.de/SharedDocs/Pressemitteilung...
มาตรานี้กำหนดให้อินเทอร์เฟซระหว่างผู้ให้บริการกับลูกค้าต้องเป็นอินเทอร์เฟซแบบพาสซีฟ ดังนั้นการบังคับใช้ ONT เองก็ถือว่าผิดอยู่แล้ว
และนี่เป็นทิศทางที่ดี มาตรฐาน PON หลายแบบถูกกำหนดเป็นมาตรฐานไว้ดีพอ และสามารถทำงานได้ด้วยโหมดมาตรฐานของผู้ผลิตอุปกรณ์ส่วนใหญ่ ผู้ให้บริการอาจเสียฟังก์ชันเฉพาะบางอย่างไป แต่จากอดีตที่ผ่านมา ผู้ผลิตก็ปรับตัวให้เข้ากับตลาดเยอรมนีมาแล้ว
กฎหมายก็อนุญาตข้อยกเว้นเช่นกัน แต่โดยหลักแล้วจำกัดอยู่ที่กรณีที่จำเป็นด้วยเหตุผลด้านเทคโนโลยีการเข้าถึง ถึงอย่างนั้นก็ระบุชัดเจนว่าอุปกรณ์ที่เชื่อมต่ออุปกรณ์ปลายทางของผู้ใช้เข้ากับบริการ หรือก็คือเราเตอร์นั้น ผู้ให้บริการอินเทอร์เน็ตไม่สามารถบังคับได้ จะเสนอให้ก็ได้ แต่ห้ามขัดขวางไม่ให้ผู้ใช้เชื่อมต่ออุปกรณ์ของตนเอง
บางครั้งก็คิดถึงช่วงที่เคยอยู่เยอรมนี
ถ้าดูพฤติกรรมของผู้ให้บริการอินเทอร์เน็ตที่นี่ มีเรื่องบ้า ๆ เยอะมาก ออสเตรเลียมีประวัติทำโครงสร้างพื้นฐานอินเทอร์เน็ตแห่งชาติพังมาพอสมควร แต่อย่างน้อยก็ยังเลือกผู้ให้บริการอินเทอร์เน็ตได้แทบเจ้าไหนก็ได้ และใช้เราเตอร์ที่อยากใช้ได้
ผมคงไม่ได้ใช้ เราเตอร์ที่ผู้ให้บริการอินเทอร์เน็ตให้มา มาประมาณ 15 ปีแล้ว
ตัวเลือกผู้ให้บริการอินเทอร์เน็ตในแต่ละพื้นที่นี่ดวงล้วน ๆ แม้แต่เมืองภูมิภาคขนาดใหญ่ก็มักแย่ และคนที่อยู่ชนบทหรือพื้นที่ห่างไกลก็ถูกปฏิบัติราวกับไม่มีตัวตน ถ้าต้องย้ายไปอยู่ที่ที่ใช้ได้แค่ Telstra ผมคงพิจารณาอย่างจริงจังว่าจะไม่ใช้อินเทอร์เน็ตเลยดีกว่า การจ่ายเงินให้ Telstra กับการมีอินเทอร์เน็ตเข้าถึงได้ก็พอ ๆ กัน แต่ทางที่ไม่จ่ายถูกกว่ามาก
ลูกเล่นที่น่าประทับใจที่สุดคือ Verizon DSL ทุกครั้งที่พยายามเชื่อมต่อขาเข้า มันจะเช่า IP สาธารณะใหม่ให้ ความเร็วที่ IP เปลี่ยนจะเท่ากับความเร็วที่คุณบันทึก IP ใหม่ในการตั้งค่าระยะไกลแล้วเชื่อมต่อใหม่ และดันได้มากกว่า 6 ครั้งต่อนาทีด้วย
ไม่จำเป็นต้องมีโมเด็มเสริมเสมอไป และจะเสียบ PC โดยตรงก็ได้ ทำให้ความเจ็บปวดลดลงมาก และความจำเป็นของโมเด็มที่ผู้ให้บริการอินเทอร์เน็ตให้มาก็ลดลงด้วย
เราเตอร์ AT&T Fiber เมื่อก่อนมีแนวโน้มร้อนเกินไป ชูคำสัญญาลม ๆ แล้ง ๆ อย่างโหมด “DMZ Plus” และเพราะปัญหาหลายอย่างจึงเกิดตลาดมืดซื้อขายไฟล์ใบรับรอง AT&T ที่ขโมยมาจากอินเทอร์เน็ต
เพราะตอนที่อุปกรณ์แยกกัน AT&T ใช้ 802.1x ระหว่างอุปกรณ์รวม “Router/gateway” กับ ONT เครือข่าย AT&T XGS-PON ตอนนี้ส่วนใหญ่เป็นแบบรวมแล้ว คราวนี้ผู้คนจึงกำลังสร้างโมดูล SFP+ ที่เข้ากันได้เพื่อแทนที่ GPON stack ทั้งชุด
ผมอาจผิดก็ได้ แต่ในบรรดาผู้ให้บริการอินเทอร์เน็ตในสหรัฐฯ ดูเหมือนมีแค่ AT&T Fiber ที่ไม่อนุญาตแม้กระทั่งให้ผู้ใช้เชื่อมต่อเข้ากับเครือข่ายโดยตรง ถ้าใช้เราเตอร์ที่ให้มา จะมีแค่โหมด “DMZ Plus” แต่เราเตอร์/เกตเวย์ตัวนั้นก็ยังจัดการ state table อยู่ดี ทำให้ยังเสี่ยงต่อปัญหาฮาร์ดแวร์และซอฟต์แวร์ของอุปกรณ์ผู้ให้บริการอินเทอร์เน็ต
สุดท้ายผู้คนก็ต้องโปรแกรมโมดูล SFP+ และเรียนรู้เครือข่ายของผู้ให้บริการอินเทอร์เน็ตลึกเกินจำเป็น เพียงเพราะอยากใช้เราเตอร์/โมเด็มที่ปลอดภัยกว่า
เนื่องจากปัญหาด้านความปลอดภัย มีหลายคนเผยแพร่คู่มือหรือทำธุรกิจจริง ๆ ในการใช้ประโยชน์จากเฟิร์มแวร์เราเตอร์/เกตเวย์เพื่อดึงใบรับรองและ private key ออกจากอุปกรณ์ AT&T สิ่งนี้ไม่ได้ทำให้ใช้อินเทอร์เน็ตฟรี แค่ช่วยให้ยืนยันตัวตนกับเครือข่ายด้วยอุปกรณ์ของตัวเองได้
มันเป็นอุปกรณ์ของผมที่ผู้ให้บริการบังคับให้ซื้อเพื่อใช้บริการ ดังนั้นผมจะจัดการกับมันอย่างไรก็ได้ตามต้องการ
ถ้านี่เป็นการขโมยบริการผมก็เห็นด้วย แต่พวกเราแค่ไม่อยากใช้อุปกรณ์ที่ไม่เสถียรและยอมรับไม่ได้เท่านั้น
แค่ดูเรื่องต้นทุนก็เห็นด้วยเต็มที่แล้ว เมื่อเทียบกับ ค่าเช่า ที่จ่ายให้ผู้ให้บริการอินเทอร์เน็ต เคเบิลโมเด็มของผมคืนทุนไปนานแล้ว
และควรซื้อโมเด็มกับเราเตอร์แยกกัน อุปกรณ์แบบรวมวินิจฉัยปัญหาได้ยากกว่า และเมื่อเปลี่ยนไปใช้รูปแบบการเข้าถึงแบบอื่น ก็เอาเราเตอร์กลับมาใช้ซ้ำไม่ได้
“ในระยะยาว การซื้อฮาร์ดแวร์ของตัวเองอาจถูกกว่า” นั่นแหละคือเหตุผลที่ผู้ให้บริการอินเทอร์เน็ตของผมบังคับให้ เช่าอุปกรณ์ ของเขา
เป็นเรื่องคลาสสิกของการเอาอำนาจครอบงำในตลาดหนึ่งไปผลักใส่อีกตลาดหนึ่ง
สุดท้ายผมปฏิบัติกับเครือข่ายเหมือนเครือข่ายอื่น ๆ คือถือว่าเครือข่ายถูกเจาะไปแล้ว และความปลอดภัยต้องทำที่อุปกรณ์ปลายทาง
เห็นด้วยกับบทความ แต่ขอเสริมส่วนที่ว่า “ฟังก์ชันอัปเดตเฟิร์มแวร์ก็อาจถูกล็อกไว้ได้ ต้องสามารถควบคุมการอัปเดตเฟิร์มแวร์ได้ทั้งหมด” ว่า DOCSIS modem นั้นประหลาดตรงที่แม้จะเป็นโมเด็มที่ซื้อเอง ผู้ให้บริการอินเทอร์เน็ตก็ยังควบคุมเฟิร์มแวร์
พวกเขาสามารถยัดเฟิร์มแวร์ใด ๆ เข้ามาในโมเด็มของผมได้ และก็ทำจริง ๆ ด้วย ผู้ผลิตเองก็ให้ความร่วมมือกับเรื่องนี้ด้วยเหตุผลบางอย่าง
ดังนั้นจึงยิ่งควรแยกโมเด็มกับเราเตอร์ออกจากกัน
กล่าวคือพวกเขารู้ค่อนข้างดีว่าคุณไปที่ไหน เพียงแต่ไม่ได้รู้เสมอว่ามีอะไรถูกส่งที่นั่น บางครั้งก็อาจรู้ด้วย
ในทางกลับกัน ถ้าใช้เราเตอร์และโมเด็มของพวกเขา เส้นแบ่งความรับผิดชอบจะย้ายมาอยู่ที่ พอร์ต Ethernet ด้านในเราเตอร์ ทำให้ขอซัพพอร์ตได้ง่ายกว่ามาก
สำหรับผม สิ่งนั้นสำคัญกว่าการควบคุม และผมก็รู้ดีว่าพวกเขาไม่มีเวลามาสอดส่องผม ถ้าจะอ้างอำนาจผู้เชี่ยวชาญให้สนุกก็ขอเสริมว่า ผมทำงานเป็นวิศวกรและสถาปนิกเครือข่ายมาหลายสิบปีแล้ว
ผู้ให้บริการอินเทอร์เน็ตของฉันส่ง Fritz!Box มาให้ และก็มีตัวเลือกให้ใช้อุปกรณ์ของตัวเองได้ด้วย อุปกรณ์ถูกตั้งค่าล่วงหน้าไว้สำหรับใช้กับผู้ให้บริการอินเทอร์เน็ตแล้ว
ในหน้าตั้งค่า ฉันปิดการเข้าถึงจากระยะไกลกับ TR-069 ด้วยสวิตช์ และเปลี่ยนรหัสผ่านผู้ดูแลระบบแล้ว จริง ๆ ถ้าจะควบคุมเราเตอร์แบบนี้ แค่นั้นก็เพียงพอแล้ว
มีเหตุผลให้ไม่ชอบเราเตอร์ของ AVM อยู่เหมือนกัน แต่ซอฟต์แวร์ของมันค่อนข้างแข็งแรงในแง่การตั้งค่าผู้ใช้และความปลอดภัยของเครือข่าย มันไม่ใช่อุปกรณ์แย่ ๆ และผู้ให้บริการอินเทอร์เน็ตรายใหญ่ก็ได้ส่วนลดมากจากการสั่งซื้อจำนวนมาก จึงให้เช่าได้ในราคาถูกกว่าซื้อจากร้าน
ที่ทำงานเก่าแห่งหนึ่งเคยสั่งเราเตอร์ Huawei มาหนึ่งพาเลต แต่ของมาถึงพร้อม เฟิร์มแวร์แบบปรับแต่งเฉพาะ ที่ผู้ให้บริการอินเทอร์เน็ตอีกรายทำไว้ มันถูกล็อกไว้อย่างสมบูรณ์ และตั้งค่าได้เฉพาะผ่าน TR-069 กับฟังก์ชัน ONT แบบกรรมสิทธิ์ของ Huawei เท่านั้น
ลูกค้าอีกรายหนึ่งก็เคยกระจายเราเตอร์ที่จัดการได้ผ่านคลาวด์ของผู้ให้บริการอินเทอร์เน็ตเท่านั้น ไม่ใช่ TR-069 แค่รับ DHCP แล้วติดต่อกลับบ้านผ่านโปรโตคอลกรรมสิทธิ์ ลูกค้าบอกว่ามันเหมือนเวทมนตร์ เพราะสามารถรีบูตเราเตอร์ของลูกค้าจากระยะไกลได้ แต่ผู้ผลิตล้มไปหลังจากนั้น 8 เดือน เหลือแต่เราเตอร์ที่ตั้งค่าล่วงหน้าไว้จำนวนมากโดยไม่มีพอร์ทัลคลาวด์ และไปต่อไม่ได้เลย น่าแปลกใจด้วยซ้ำที่ยังไม่เห็นกรณี DNS hijacking
ฉันทิ้งอุปกรณ์นั้นในวันถัดมาทันที