แอป VPN ส่วนใหญ่ถูกสร้างขึ้นรอบโปรโตคอลตัวเดียว ซึ่งก็ใช้ได้ดี... จนถึงวันที่มันใช้ไม่ได้: โปรโตคอลที่เร็วที่สุดบนไฟเบอร์ที่บ้านคุณ มักเป็นตัวแรกที่โดนบล็อกบน Wi-Fi โรงแรม ส่วนโปรโตคอลที่เอาตัวรอดบนเครือข่ายที่ถูกเซ็นเซอร์ได้ ก็แบก overhead ที่คุณไม่อยากจ่ายบนเครือข่ายปกติ
TukTukVPN รันโปรโตคอล 3 ตระกูล — WireGuard/AmneziaWG, Hysteria2 และ VLESS+Reality — แล้วให้แอปเป็นคนเลือกใช้ตามสภาพจริงของเครือข่ายที่คุณอยู่ตอนนั้น มาดูกันว่าแต่ละตัวมีไว้ทำอะไร และทำไมเราถึงไม่ยอมเลือกแค่ตัวเดียว
WireGuard: ตัวหลักสายเร็ว
WireGuard คือโปรโตคอลที่เราหยิบมาใช้เมื่อไม่มีอะไรมากวนการเชื่อมต่อ โค้ดเบสของมันเล็กจนขึ้นชื่อ — แค่ไม่กี่พันบรรทัด เทียบกับหลายแสนบรรทัดใน VPN stack รุ่นเก่า — แปลว่ามีของให้ audit น้อยลง มีจุดให้พังน้อยลง และ overhead ต่อแพ็กเก็ตต่ำมาก มันใช้คริปโตยุคใหม่ (ChaCha20-Poly1305 สำหรับเข้ารหัส, Curve25519 สำหรับแลกเปลี่ยนกุญแจ) ทำ handshake เสร็จไว และ reconnect ได้ลื่นเวลาคุณสลับไปมาระหว่าง Wi-Fi กับเน็ตมือถือ แถมยังถูกรวมเข้า Linux kernel มาตั้งแต่ปี 2020
จุดอ่อนของมันคือด้านกลับของความเรียบง่ายนั่นเอง: WireGuard ไม่พยายามซ่อนตัวเลย UDP handshake ของมันมีลายเซ็นที่จดจำได้ เครือข่ายที่กรอง VPN จึงตรวจจับแล้วดรอปทิ้งได้ไม่ยาก และโปรเจกต์ WireGuard เองก็ประกาศชัดว่า obfuscation อยู่นอกขอบเขตโดยตั้งใจ นั่นคือเหตุผลที่เรารัน AmneziaWG ควบคู่ไปด้วย — WireGuard สายพันธุ์หนึ่งที่ป่วนลายเซ็นที่ใช้ระบุตัวพวกนั้นให้เพี้ยนไป โดยข้างใต้ยังเป็นคริปโตชุดเดิม
Hysteria2: เกิดมาเพื่อเครือข่ายห่วย ๆ
Hysteria2 สร้างอยู่บน QUIC — transport แบบ UDP ตัวเดียวกับที่ HTTP/3 ใช้วิ่ง ซึ่งให้คุณสมบัติที่เป็นประโยชน์สองอย่าง อย่างแรก congestion control ของมันออกแบบมาให้ดันข้อมูลผ่านลิงก์ที่มี packet loss และ latency สูงต่อไปได้เรื่อย ๆ — การเชื่อมต่อแบบที่คุณเจอบน Wi-Fi ที่คนแน่น เน็ตมือถือ หรือเส้นทางข้ามประเทศไกล ๆ — ในสถานการณ์ที่อุโมงค์แบบ TCP ดั้งเดิมจะช้าลงจนคลาน อย่างที่สอง เพราะมันพูดภาษา QUIC ทราฟฟิกของมันจึงหน้าตาคล้าย HTTP/3 ทั่วไป ทำให้ถูกแยกออกมาบีบความเร็ว (throttle) ได้ยากขึ้น
ในทางปฏิบัติ นี่คือโปรโตคอลที่ทำให้การเชื่อมต่อยังใช้งานได้เมื่อตัวเครือข่ายเองนั่นแหละคือปัญหา: loss เยอะ แออัด หรืออยู่ไกลจากเซิร์ฟเวอร์
VLESS+Reality: เมื่อเครือข่ายสู้กลับ
บางเครือข่ายไม่ได้แค่ทำให้ทราฟฟิก VPN แย่ลง — มันไล่ล่าด้วย deep packet inspection (DPI) กันเลยทีเดียว Great Firewall ของจีนคือตัวอย่างที่คนรู้จักมากที่สุด แต่เครือข่ายโรงแรม เครือข่ายมหาวิทยาลัย และ ISP ระดับประเทศอีกหลายเจ้าก็ทำอะไรทำนองเดียวกันในเวอร์ชันเบากว่า
VLESS+Reality คือคำตอบของเราสำหรับโจทย์นี้ ทีเด็ดของ Reality คือมันไม่ได้ "เลียนแบบ" การเชื่อมต่อ TLS ไปยังเว็บจริง — มันแทบจะ "ยืม" ของจริงมาใช้เลย เมื่อ censor ส่ง probe มาที่เซิร์ฟเวอร์ สิ่งที่ได้กลับไปคือ TLS handshake และ certificate ของแท้จากเว็บไซต์จริงที่คนรู้จักดี จึงไม่มี certificate ปลอมหรือพฤติกรรมโปรโตคอลแปลก ๆ ให้จับผิด ในสายตาของ DPI อุโมงค์นี้แยกไม่ออกจากคนที่กำลังเปิดเว็บผ่าน HTTPS ธรรมดา แลกมาด้วย overhead ที่สูงกว่า WireGuard — ซึ่งก็คือเหตุผลว่าทำไมมันไม่ควรเป็นค่าเริ่มต้นในทุกที่ — แต่บนเครือข่ายที่ไม่เป็นมิตร มันคือเส้นแบ่งระหว่าง "ต่อติด" กับ "ต่อไม่ติด"
ทำไม "สลับ" ถึงชนะ "เลือกตัวเดียว"
ลองสังเกตแพตเทิร์นดู: จุดแข็งของโปรโตคอลหนึ่งคือจุดบอดของอีกตัวเสมอ WireGuard เบาแต่สะดุดตา Hysteria2 ไม่สะทกสะท้านกับ packet loss แต่เกินจำเป็นบนเส้นที่สะอาด Reality ทะลุ DPI ได้แต่ต้องจ่ายราคาค่าพรางตัว มันไม่มี "ตัวเลือกที่ถูกต้อง" เพียงหนึ่งเดียว เพราะตัวเลือกที่ถูกต้องขึ้นอยู่กับเครือข่ายที่คุณยืนอยู่ ณ ตอนนี้ — และมันเปลี่ยนไปเรื่อย ๆ ตอนคุณเดินจากคอนโด ไปร้านกาแฟ ไปสนามบิน
แอปเลยรับหน้าที่ตัดสินใจแทน มันเฝ้าดูสภาพการเชื่อมต่อแล้วสลับโปรโตคอลให้อัตโนมัติ: ความเร็วระดับ WireGuard เมื่อเส้นทางโล่ง, Hysteria2 เมื่อลิงก์มี loss, Reality เมื่อมีอะไรบางอย่างบล็อกทราฟฟิก VPN อยู่ ไม่มีหน้าตั้งค่าให้งม ไม่ต้องไล่อ่านกระทู้ว่าต้องกดคอมโบไหนถึงจะรอด และถ้าโปรโตคอลที่ใช้อยู่เกิดใช้ไม่ได้กลางคัน แอปก็ย้ายไปตัวที่ยังใช้ได้ให้เอง
สิ่งหนึ่งที่เราจงใจไม่ทำ คือการเอาผลเปรียบเทียบความเร็วระหว่างโปรโตคอลที่เราวัดเองมาโชว์ เพราะตัวเลขพวกนั้นขึ้นอยู่กับ ISP ของคุณ เส้นทางของคุณ และเซิร์ฟเวอร์ที่คุณต่อทั้งนั้น — benchmark จากแล็บของเราไม่ได้บอกอะไรเกี่ยวกับหน้าจอที่บ้านคุณเลย
ลองบนเครือข่ายของคุณเองดีที่สุด
วิธีประเมิน protocol switching ที่ตรงไปตรงมาที่สุด คือลองบนเครือข่ายที่คุณใช้งานจริง ทดลองใช้ฟรี 7 วันโดยไม่ต้องผูกบัตร ได้ครบทุกโปรโตคอล (50GB / 2 อุปกรณ์) มีเซิร์ฟเวอร์ที่สิงคโปร์ โตเกียว ลอสแอนเจลิส กรุงเทพฯ และลอนดอน ถ้ามันเอาไม่อยู่บนเครือข่ายที่แย่ที่สุดของคุณ เรามีการรับประกันคืนเงินภายใน 30 วันรองรับอยู่