- จากการวิเคราะห์ VPN รายใหญ่ 20 ราย พบว่า 17 บริการมีประเทศทางออกของทราฟฟิกจริงไม่ตรงกับประเทศที่อ้างไว้ โดยหลายรายใช้ดาต้าเซ็นเตอร์เดียวกันในสหรัฐฯ หรือยุโรป
- จากการวัด IP ทางออกของ VPN มากกว่า 150,000 รายการ พบว่า 38 ประเทศเป็น ‘แบบเสมือนเท่านั้น’ ซึ่งหมายความว่าทราฟฟิกจริงไม่ได้ออกจากประเทศนั้น
- มีเพียง Mullvad, IVPN, Windscribe เท่านั้นที่ตำแหน่งที่อ้างและตำแหน่งจริงตรงกันในทุกประเทศ ส่วนที่เหลือมีความคลาดเคลื่อนอย่างมาก
- ‘ตำแหน่งเสมือน’ คือโครงสร้างที่ VPN แสดงว่าอยู่ในประเทศหนึ่ง แต่ทราฟฟิกจริงออกจากอีกภูมิภาคหนึ่งแทน (เช่น Miami, London)
- ช่องว่างระหว่างจำนวนประเทศที่ VPN อ้างกับตำแหน่งทางกายภาพจริงนำไปสู่ ปัญหาด้านความโปร่งใสและความน่าเชื่อถือ และ IPinfo ใช้ แนวทางข้อมูลวัดจริงบนพื้นฐาน ProbeNet เพื่อแก้ปัญหานี้
ผลการตรวจสอบความคลาดเคลื่อนของตำแหน่ง VPN ในวงกว้าง
- IPinfo วิเคราะห์ VPN ยอดนิยม 20 ราย และยืนยันว่า 17 รายมีประเทศทางออกของทราฟฟิกจริงต่างจากที่อ้าง
- บาง VPN อ้างว่ารองรับมากกว่า 100 ประเทศ แต่ในความเป็นจริงกลับใช้ดาต้าเซ็นเตอร์เพียงไม่กี่แห่งในสหรัฐฯ และยุโรปร่วมกัน
- มีการวัด IP ทางออกรวม 150,000 รายการ โดยอิงจาก 137 ประเทศ
- 38 ประเทศเป็นแบบเสมือนเท่านั้น คือไม่มี VPN ใดเลยที่มีทราฟฟิกจริงออกจากประเทศนั้น
- มีเพียง 3 VPN เท่านั้น ที่สามารถยืนยันตำแหน่งที่อ้างไว้ได้ครบทั้งหมด
- พบ ข้อผิดพลาดตำแหน่ง IP ราว 8,000 รายการ ในชุดข้อมูลเดิม
- ผลการวัดจาก ProbeNet แสดงว่า VPN ส่วนใหญ่มีจำนวนประเทศจริงน้อยกว่าที่อ้าง
ผลการวัดจริงราย VPN
- เปรียบเทียบจำนวนประเทศที่ VPN อ้างกับจำนวนประเทศที่วัดได้จริง
- Mullvad, IVPN, Windscribe มีความคลาดเคลื่อน 0% ตรงกันทั้งหมด
- NordVPN, ExpressVPN, CyberGhost และรายอื่น ๆ มีมากกว่าครึ่งเป็นแบบเสมือนหรือวัดยืนยันไม่ได้
- ยิ่ง VPN อ้างจำนวนประเทศมาก อัตราความคลาดเคลื่อนก็ยิ่งสูง และคำอ้างแบบ ‘100+ ประเทศ’ ไว้วางใจได้ยาก
ความหมายของตำแหน่งเสมือน (Virtual Location)
- แม้ VPN จะระบุว่าเป็น “Bahamas” หรือ “Somalia” แต่ทราฟฟิกจริงอาจออกจาก Miami, สหรัฐฯ หรือ London, สหราชอาณาจักร
- ข้อมูลการลงทะเบียน IP ก็อาจแสดงเป็น “Country X” ตามการแจ้งด้วยตนเอง แต่ การวัดเครือข่ายจริงกลับชี้ไปยังอีกประเทศหนึ่ง
- ProbeNet ของ IPinfo ใช้จุดวัดทั่วโลกมากกว่า 1,200 จุดเพื่อตรวจสอบตำแหน่งจาก RTT จริง (เวลาไป-กลับ)
- ในข้อมูลทั้งหมด มี 97 ประเทศที่เป็นแบบเสมือนหรือวัดไม่ได้ โดยในจำนวนนี้ 38 ประเทศมีอยู่เฉพาะในฐานะตำแหน่งเสมือนเท่านั้น
กรณีศึกษา: Bahamas และ Somalia
- Bahamas: NordVPN, ExpressVPN, PIA, FastVPN, IPVanish ล้วนถูกวัดว่าทราฟฟิกออกจากสหรัฐฯ
- ค่า RTT อยู่ที่ 0.15~0.42ms เมื่ออิงจาก Miami ซึ่งบ่งชี้ว่าเป็นเซิร์ฟเวอร์ที่อยู่ในสหรัฐฯ จริง
- Somalia: NordVPN และ ProtonVPN แสดงว่าเป็น “Mogadishu” แต่ทราฟฟิกจริงถูกวัดได้จาก Nice, ฝรั่งเศส และ London, สหราชอาณาจักร
- ค่า RTT 0.33~0.37ms ยืนยันว่าเป็นเซิร์ฟเวอร์ในยุโรป
ข้อผิดพลาดในชุดข้อมูล IP เดิม
- ผู้ให้บริการข้อมูล IP แบบเดิมใช้ ข้อมูลที่แจ้งด้วยตนเอง ทำให้ตามข้อมูลตำแหน่งที่ผิดของ VPN ไปด้วย
- จากการเปรียบเทียบ IP ทางออกของ VPN 736 รายการ ระหว่างการวัดของ ProbeNet กับชุดข้อมูลเดิม:
- คลาดเคลื่อนเกิน 1,000 กม. 83% , เกิน 5,000 กม. 28% , เกิน 8,000 กม. 12%
- ค่าความคลาดเคลื่อนมัธยฐานราว 3,100 กม.
- ProbeNet มี RTT เฉลี่ย 0.27ms และ 90% มีค่า ไม่เกิน 1ms ซึ่งยืนยันความใกล้เคียงกับตำแหน่งทางกายภาพจริง
ปัญหาความน่าเชื่อถือและเหตุผลทางเทคนิค
- เหตุผลทางเทคนิคของการใช้ตำแหน่งเสมือน
- หลีกเลี่ยงความเสี่ยงด้านกฎระเบียบและการสอดส่อง, ความแตกต่างของคุณภาพโครงสร้างพื้นฐาน, ลดต้นทุนและเพิ่มประสิทธิภาพ
- แต่ปัญหาความน่าเชื่อถือเกิดขึ้นจากสิ่งต่อไปนี้
- การเปิดเผยอย่างชัดเจนไม่เพียงพอ: ไม่ได้ระบุในลักษณะเช่น “Virtual Bahamas (US-based)”
- ปัญหาด้านขนาด: หลายสิบประเทศมีอยู่เพียงในรูปแบบตำแหน่งเสมือนทั้งหมด
- การพึ่งพาข้อมูล: สื่อ, NGO, ระบบความปลอดภัย ฯลฯ เสี่ยงที่จะเชื่อข้อมูลตำแหน่งที่ผิด
ข้อสรุปที่มีต่อผู้ใช้
- ควรมองคำว่า ‘100+ ประเทศ’ เป็นตัวเลขทางการตลาด
- ใน VPN 17 ราย มี 97 ประเทศที่ไม่มีอยู่จริงในเชิงปฏิบัติ
- จำเป็นต้องตรวจสอบวิธีแสดงตำแหน่งของ VPN: เป็นเซิร์ฟเวอร์เสมือนหรือไม่ และเปิดเผยตำแหน่งโฮสต์จริงหรือไม่
- หากใช้ข้อมูล IP ต้องตรวจสอบแหล่งที่มา: ไม่ใช่ดูแค่ตัวเลขความแม่นยำ แต่ต้องดูว่าเป็น ข้อมูลที่อิงการวัดจริงหรือไม่
- ประเด็นนี้ไม่ใช่ปัญหาของการใช้ VPN โดยตัวมันเอง แต่เป็นการเน้นย้ำถึง ความสำคัญของความโปร่งใสและข้อมูลที่อิงหลักฐาน
แนวทางแบบอิงการวัดจริงของ IPinfo
- ผู้ให้บริการข้อมูล IP แบบเดิมพึ่งพา ข้อมูลการลงทะเบียน RIR และข้อมูลที่แจ้งด้วยตนเอง
- IPinfo ใช้ แนวทางวัดจริงบนพื้นฐาน ProbeNet
- ดำเนินการ PoP (จุดวัด) มากกว่า 1,200 จุด
- ระบุตำแหน่งของ IPv4 และ IPv6 ด้วย การวัดแบบเรียลไทม์บนพื้นฐาน RTT
- คำนวณตำแหน่งจาก ข้อมูลภูมิสารสนเทศที่อิงหลักฐาน ตามพฤติกรรมการทำงานของอินเทอร์เน็ตจริง
- แนวทางนี้มีเป้าหมายเพื่อ ลดข้อผิดพลาดจากข้อมูลที่แจ้งด้วยตนเอง และเพิ่มความแม่นยำโดยยึดข้อมูลวัดจริงเป็นศูนย์กลาง
ระเบียบวิธีการตรวจสอบ
- เก็บข้อมูล มากกว่า 6 ล้านจุดข้อมูล จากเว็บไซต์, ไฟล์ตั้งค่า, API ฯลฯ ของ ผู้ให้บริการ VPN 20 ราย
- เชื่อมต่อไปยังแต่ละตำแหน่งของ VPN โดยตรงเพื่อ วัด IP ทางออกและ RTT
- เปรียบเทียบ ประเทศที่ VPN อ้าง กับ ประเทศจริงที่ ProbeNet วัดได้
- รวมเฉพาะ ตำแหน่งที่มีการอ้างอย่างชัดเจน ไว้ในการวิเคราะห์ และตัดกรณีที่กำกวมหรือวัดไม่ได้ออก
- ผลลัพธ์แสดงให้เห็นว่า แม้ใช้เกณฑ์แบบอนุรักษ์นิยมก็ยังพบอัตราความคลาดเคลื่อนสูง และหากใช้เกณฑ์ที่ผ่อนคลายกว่า อัตราความคลาดเคลื่อนอาจสูงกว่านี้
2 ความคิดเห็น
ว้าว ถึงขั้นหลอกกันแบบนี้แล้วเอามาทำธุรกิจด้วยเหรอ..;;; มีปัญหาเยอะจริง ๆ
ความคิดเห็นจาก Hacker News
ฉันเป็นผู้ร่วมก่อตั้ง WonderProxy บริการของเราไม่ใช่ consumer VPN แต่ใช้สำหรับทดสอบแอป จึงไม่ได้อยู่ในลิสต์
เราให้บริการในมากกว่า 100 ประเทศ และนี่เป็น เรื่องปวดหัว จริง ๆ ช่วงแรก ๆ ผู้ให้บริการบางรายอ้างว่าอยู่เม็กซิโกหรืออเมริกาใต้ แต่ความจริงกลับอยู่ที่เท็กซัส
ครั้งหนึ่งเราเคยคิดจะขนเซิร์ฟเวอร์ไปเปรูเอง แต่พอรู้ว่าต้องเสีย ภาษีเงินได้ของเปรู จากรายได้ที่หาได้ในท้องถิ่น ก็เลยล้มเลิก
มีลูกค้าบ่นว่าเจ้าแข่งรายหนึ่งอ้างว่ามีเซิร์ฟเวอร์ในตะวันออกกลาง แต่พอตรวจสอบกลับพบว่าอยู่ห่างจากเซิร์ฟเวอร์ในเยอรมนีไม่ถึง 1ms
ฉันรู้จักหลายคนที่ทำงานที่ Mullvad และพวกเขาจริงจังกับ ความปลอดภัยและความเป็นส่วนตัว มาก ดังนั้นผลลัพธ์ครั้งนี้จึงไม่น่าแปลกใจ
ฉันเป็นพลเมืองของประเทศหนึ่งแต่ไปพำนักอยู่อีกประเทศหนึ่ง เลยใช้ VPN บ่อยมาก แม้แต่การเข้าถึงเว็บไซต์ภาครัฐก็ทำไม่ได้ถ้าไม่มี VPN
เว็บไซต์สำนักงานสถิติจะขึ้น 404 ถ้าเข้าจาก IP ต่างประเทศ แต่พอเปิด VPN ก็ใช้งานได้ตามปกติ การดูถ่ายทอดสดการเลือกตั้งก็ต้องใช้ VPN เหมือนกัน
ส่วนการยื่นภาษี กลับต้องปิด VPN เพราะระบบบล็อก VPN แต่ยังอนุญาต IP ของผู้พำนักต่างประเทศ
ถ้ามี VPN ที่ใช้ IP แบบที่อยู่อาศัยจริง ฉันยอมจ่ายเดือนละ 30 ยูโรได้เลย แต่ส่วนใหญ่เชื่อถือได้ยาก
น่าสนใจที่สามารถเดาตำแหน่งจริงของเซิร์ฟเวอร์จาก latency ได้ แต่ถ้า VPN ใส่ดีเลย์เพิ่มแบบตั้งใจ 100~300ms มันจะหลอกได้ไหม?
ตัวอย่างเช่น 74.118.126.204 ถูกอ้างว่าเป็น IP ของโซมาเลีย แต่ ipinfo.io ระบุว่าเป็น ลอนดอน ลองเทียบ
curl ipinfo.io/74.118.126.204/jsonกับcurl ipwhois.app/json/74.118.126.204ได้ผู้ให้บริการ VPN ส่วนใหญ่เปิดเผยอยู่แล้วว่าเป็น “virtual location” ดังนั้นจะบอกว่าโกหกเต็ม ๆ ก็คงไม่ถูก
ประเด็นที่น่าสนใจคือเราควรกำหนดมาตรฐานการแสดง ตำแหน่งทางภูมิศาสตร์ของ VPN อย่างไร ควรแสดงตำแหน่งจริงของเซิร์ฟเวอร์ หรือควรแสดงประเทศที่ผู้ใช้เลือก?
ฉันมองว่าแบบหลังมีประโยชน์กว่า เพราะมันแสดงว่าลูกค้า ‘อยากอยู่ที่ไหน’
(เพื่อความชัดเจน ฉันก็เป็นผู้ให้บริการคู่แข่ง และเราก็แสดงตำแหน่งที่ VPN รายงานเช่นกัน แต่ระบุชัดว่าเป็น VPN)
ตอนย้ายมาใช้ ProtonMail ฉันลองใช้ ProtonVPN แล้วพบว่าพอเปิด VPN เว็บไซต์ครึ่งหนึ่งใช้งานไม่ได้ แม้แต่ Hacker News ก็ยังบล็อก VPN
ทุกวันนี้เว็บไซต์ต่าง ๆ ตรวจจับ VPN endpoint ได้ง่ายขึ้นเรื่อย ๆ เลยสงสัยว่าในอนาคต VPN จะรับมือเรื่องนี้อย่างไร
ถ้าเว็บไซต์บล็อก VPN ผู้ใช้ก็จะรู้สึกไม่สะดวกและหนีไป
การ ปลอมเป็น mobile user agent อาจช่วยได้ และควรทำให้ลายนิ้วมือของ SSL กับ HTTP ดูเป็นมือถือด้วย
ควรเลี่ยง VPN ที่มี free tier เพราะ ชื่อเสียงของ IP ใน VPN แบบเสียเงินดีกว่า
ฉันยังไม่ค่อยเข้าใจว่าการทดสอบครั้งนี้ทำอะไรกันแน่ แปลกเหมือนกันที่ VPN หลักบางเจ้าไม่อยู่ในการทดสอบ
ฉันใช้ AirVPN เพราะตรงกับวัตถุประสงค์การใช้งานและราคา
เหตุผลในการใช้ VPN มีหลายแบบ — ความเป็นส่วนตัว, การไม่ระบุตัวตน (ไม่แนะนำ), ปลดล็อกข้อจำกัดตามภูมิภาค, torrent, การหลบเลี่ยงการเซ็นเซอร์ (GFC) เป็นต้น
อย่างสุดท้ายนี่ยากที่สุด
ลิงก์อ้างอิง: VPN Services Overview
หากต้องการเลี่ยงไฟร์วอลล์ระดับประเทศ ตำแหน่งของ exit node สำคัญก็จริง แต่ตัว อุตสาหกรรม GeoIP เองก็เป็นปัญหา
คงดีถ้า ISP ใช้ RFC8805 เพื่อช่วยให้ผู้ใช้หลบการบล็อกตามภูมิภาคได้
ข้อมูล IP เชิงภูมิศาสตร์ เป็นเครื่องมือสำคัญในการหลีกเลี่ยงความเสี่ยงแบบนี้
ฉันคิดว่าการอนุมานความรู้เกี่ยวกับ เครือข่าย backbone จาก RTT เพียงอย่างเดียวนั้นฝืนเกินไป
ทราฟฟิกไม่ได้ถูก route อย่างมีประสิทธิภาพเสมอ และเส้นทางส่งต่อก็เปลี่ยนไปตามปริมาณทราฟฟิก อยากรู้ว่าคนอื่นคิดเห็นอย่างไร
ด้วยข้อจำกัดของความเร็วแสง RTT 0.4ms หมายถึงระยะทางได้มากสุด 120 กม. จึงสรุปได้ชัดว่าเซิร์ฟเวอร์ไม่ได้อยู่ในประเทศที่อ้าง