ปลุก VPS ที่เช่าค้างไว้ ทำ WireGuard เข้าบ้าน — คู่มือ client ฉบับเต็ม
VPS ที่เผลอเช่าไว้ตั้งแต่ต้นปีตอนนี้เหลือค้าง ไม่รู้จะเอาไปทำอะไร ผมเลยเอามันมาทำเป็นประตูหลังเข้าบ้านแบบถาวรด้วย WireGuard และใช้ทุกวันมาจนถึงตอนนี้ คู่มือนี้คือทุกขั้นฝั่ง client ที่ทำจริง
หลายคนน่าจะเคยเช่า VPS เก็บไว้ตั้งแต่ต้นปี เพราะกระแส openclaw แต่พอมาถึงตอนนี้ ใครที่มีกำลังจ่ายก็คงเห็นเหมือนกันแล้วว่า ecosystem ของ cloud AI ทั้ง Claude และ GPT มันดีพอจนไม่ต้องมานั่งตั้ง multiagent เผา token บน VPS ตัวเอง แลกกับความสามารถที่สูงขึ้นอีกแล้ว ผลก็คือ VPS รายปีที่เผลอเช่าไว้เลยเหลือค้าง จ่ายไปแล้วแต่ไม่ได้ใช้ ปล่อยให้เครื่องเปิดทิ้งไว้เฉยๆ ก็เสียดายค่าเช่า
โพสต์นี้ผมเลยเขียนเผื่อคนสามกลุ่ม
- คนที่เผลอเช่า VPS รายปีไว้ แล้วยังไม่รู้จะเอาไปใช้ทำอะไรต่อ
- คนที่ยังใช้ claw อยู่ แล้วอยากให้ VPS ตัวเดิมมีประโยชน์เพิ่มขึ้นอีกหน่อย
- คนที่เจอปัญหาแบบผมเอง คือขอเปิด firewall port มาให้ IP บ้านเต็มโควต้า 10 port แล้ว แต่ก็ยังอยากจะ VPN เข้าเครื่องที่บ้านได้ตลอดเวลา โดยไม่ต้องไปยุ่งกับการ forward port เพิ่มอีก
ตัว WireGuard ตอบโจทย์ตรงนี้พอดี เอา VPS ที่ค้างอยู่มาทำเป็นทางเข้าบ้านแบบถาวรได้เลย ไม่ต้องลงทุนอะไรเพิ่ม ใช้ของที่จ่ายค่าเช่าไปแล้วให้คุ้มขึ้น
หลักการสั้นๆ ก่อนลงมือ
ไอเดียมันง่ายมาก เอา VPS ที่มี public IP คงที่มาเป็น "จุดนัดพบ" หรือ hub ส่วนเครื่องเกตเวย์ที่บ้าน (จะเป็น Raspberry Pi, มินิพีซีเก่าๆ หรือ router ที่ลง WireGuard ได้ก็ได้) กับโน้ตบุ๊กหรือมือถือของเรา ต่างฝ่ายต่าง "โทรออก" ไปเกาะที่ VPS เอง พอทั้งสองฝั่งเข้า hub ได้พร้อมกัน ก็คุยทะลุถึงกันได้เหมือนนั่งอยู่ในวง LAN บ้านเอง
จุดสำคัญที่ผมชอบที่สุดคือ เพราะทั้งสองฝั่งเป็นการ dial-out ออกไปหา VPS ฝั่งบ้านเลยไม่ต้องเปิดหรือ forward port อะไรเลยสักช่อง ตัวเครื่องที่บ้านมันวิ่งออกไปเกาะ VPS เอง ไม่มีใครจากภายนอกต้องวิ่งเข้ามาหามัน นี่แหละที่แก้ปัญหา port เต็มโควต้าได้ตรงๆ
แล้วมันเป็น split tunnel ด้วย คือเน็ตทั่วไปยังวิ่งออกตรงตามปกติ ไม่อ้อมผ่าน VPS ให้ช้าลง มีเฉพาะ traffic ที่วิ่งเข้าวง LAN บ้านเท่านั้นที่ลอดอุโมงค์ เปิด VPN ทิ้งไว้ทั้งวันก็ไม่กระทบความเร็วเน็ตปกติ
1. สิ่งที่ต้องมี
ของหลักที่ต้องเตรียมคือไฟล์ config ของอุปกรณ์ หนึ่งไฟล์ต่อหนึ่งเครื่อง เตรียมไว้ล่วงหน้าเท่าจำนวนเครื่องที่จะใช้ ของผมทำไว้ 10 ชุด ตั้งแต่ client01.conf ถึง client10.conf พร้อมไฟล์สรุปกำกับไว้ด้วยว่าใบไหนเป็น IP อะไร เวลาหยิบมาใช้จะได้ไม่งง
wireguard-clients/
client01.conf client02.conf ... client10.conf
INDEX.txt (สรุปว่าแต่ละชุดเป็น IP อะไร)
ห้ามเอา config ไฟล์เดียวกันไปใส่สองเครื่องพร้อมกันเด็ดขาด เพราะ key มันซ้ำกัน แล้วสองเครื่องจะแย่งกันต่อ กลายเป็นหลุดๆ ติดๆ ทั้งคู่ เครื่องใหม่ให้หยิบ clientNN.conf ใบถัดไปเสมอ อย่าใช้ใบเดิมซ้ำ
2. ลงแอป WireGuard
เรื่องแอปขอย้ำว่าโหลดของจริงจากเจ้าของเท่านั้น อย่าไปโหลดจากแหล่งอื่นที่ไม่ใช่ official เพราะมันเกี่ยวกับความปลอดภัยของอุโมงค์เราโดยตรง
- Windows — โหลดจาก wireguard.com/install (หรือ Microsoft Store) แล้วติดตั้ง เปิดโปรแกรม
- macOS — App Store ค้น WireGuard ติดตั้งแล้วเปิดจาก menu bar
- Android — Play Store ค้น WireGuard ตัวที่เป็นของ WireGuard Development Team
- iOS / iPad — App Store ค้น WireGuard แล้วเปิดแอป
3. นำเข้า config (import)
เมื่อลงแอปเสร็จแล้ว ขั้นตอนต่อไปคือเอาไฟล์ config เข้าแอป วิธีต่างกันนิดหน่อยระหว่างคอมกับมือถือ
บนคอม (Windows / macOS) ใช้ไฟล์ตรงๆ
- เปิดแอป WireGuard กด Import tunnel(s) from file (หรือ Add Tunnel → Import from file)
- เลือกไฟล์
clientNN.confที่จะใช้ (เช่นclient01.conf) - จะเห็น tunnel ชื่อ
client01โผล่มาในรายการ
บนมือถือ (Android / iOS) สแกน QR หรือใช้ไฟล์ก็ได้
- กดปุ่ม + แล้วเลือก Create from QR code จากนั้นสแกน QR ของ config ใบนั้น
- หรือถ้าจะใช้ไฟล์ ให้ส่งไฟล์
.confเข้ามือถือก่อน (LINE/อีเมล/ไดรฟ์) แล้วกด + เลือก Import from file or archive
เปิดรูป QR ของ config (เช่น client01.png) บนจอคอม แล้วในแอปมือถือกด + → Create from QR code สแกนหน้าจอตรงๆ เข้าเลย ไม่ต้องส่งไฟล์ไปมาให้เสี่ยงหลุด
ตัว QR code มี private key ฝังอยู่ข้างใน อย่าโพสต์หรือแชร์รูป QR ในที่สาธารณะเด็ดขาด ใครได้รูป QR ไปก็เท่ากับได้กุญแจเข้าบ้านเราไปด้วย
4. เปิดใช้งาน + ตรวจสอบ
พอ import เข้ามาแล้วก็เปิดใช้งานได้เลย
- กด Activate (บนคอม) หรือสไลด์เปิด (บนมือถือ) ที่ tunnel นั้น
- ภายในไม่กี่วินาทีจะขึ้น
latest handshake: a few seconds agoแปลว่าต่อติดแล้ว - ดูที่ช่อง Transfer ถ้าตัวเลข received ขยับขึ้น แสดงว่ามีข้อมูลวิ่งสองทางจริง
ตรงนี้สำคัญ ต้องทดสอบจากนอกวง LAN บ้านเท่านั้น เช่น เปิดเน็ตมือถือแล้วปิด wifi บ้านก่อน ค่อยลอง ถ้ายังอยู่ในวงเดียวกับเกตเวย์อยู่ มันจะมองไม่เห็นความต่าง เพราะเข้าถึงเครื่องในบ้านได้อยู่แล้วโดยไม่ผ่าน VPN
5. ใช้งานจริง — เข้าเครื่องในบ้าน
พอ VPN เปิดอยู่ ก็เรียกเครื่องในบ้านด้วย IP วงในได้ตรงๆ เหมือนนั่งอยู่บ้าน ไม่ต้องจำ public IP หรือ DDNS อะไรให้วุ่นวาย
# SSH เข้าเกตเวย์ที่บ้าน
ssh [email protected]
# SSH เข้าเครื่องอื่นในวง
ssh [email protected]
# Remote Desktop (Windows) ใส่ใน client RDP
192.168.1.20
# เปิดเว็บ / NAS / บริการในบ้าน
http://192.168.1.x
ผังเครื่องในวงที่เข้าบ่อย (IP สมมติ): เกตเวย์ที่บ้าน 192.168.1.10 (ตัวที่ทำ NAT ออกวง LAN, SSH) · เครื่อง PC/IoT 192.168.1.20 (SSH/RDP) · NAS/เซิร์ฟเวอร์ภายใน 192.168.1.30 (เว็บ/แชร์ไฟล์) · เครื่องอื่นในวงก็เข้าได้หมดผ่านเกตเวย์ เหมือนต่อสาย LAN อยู่ในบ้านจริงๆ
6. แก้ปัญหาที่เจอบ่อย
ของพวกนี้ส่วนใหญ่เป็นอาการเล็กน้อย เช็คตามนี้ทีละข้อมักจะเจอต้นเหตุ
- ไม่ขึ้น handshake เลย — เช็คว่าเครื่องมีเน็ต, VPS ออนไลน์ และค่า
Endpointใน config ตรงกับ IP:พอร์ตของ VPS จริงไหม ลองปิด-เปิด tunnel ใหม่ - handshake ขึ้นแล้วหายเป็นช่วงๆ — เรื่องปกติ ค่า keepalive 25s มันจะดึงกลับเอง เน็ตมือถือสลับเสาเมื่อไหร่ WireGuard ก็ตามให้อัตโนมัติ ไม่ต้องไปทำอะไร
- ต่อติดแต่เข้า IP วงในไม่ได้ — เช็ค
AllowedIPsใน config ต้องครอบ range วง LAN บ้านด้วย และเกตเวย์ที่บ้านต้องเปิดอยู่ - เข้าเกตเวย์ได้ แต่เครื่องปลายทางอีกตัวเข้าไม่ได้ — ส่วนใหญ่เป็นที่ firewall ของเครื่องปลายทางเองที่บล็อก ไม่ใช่ปัญหาของ VPN ลองต่อ port จริง (SSH/RDP) แทนการ ping เพราะหลายเครื่องตั้งให้ไม่ตอบ ping
- เปิด VPN แล้วเน็ตช้าทั้งเครื่อง — ไม่ควรเกิด เพราะเราตั้งเป็น split tunnel ถ้าเกิดขึ้นให้เช็คว่า
AllowedIPsไม่ได้เผลอตั้งเป็น0.0.0.0/0 - สองเครื่องต่อพร้อมกันแล้วหลุดสลับ — อาการนี้คือใช้ config ซ้ำใบเดียวกัน ให้แยกใช้
clientNN.confคนละใบต่อเครื่อง
7. แผนหมายเลข (อ้างอิง)
ส่วนนี้เป็นค่าที่ผมวางไว้ เผื่อใครอยากเห็นภาพว่าจัด IP ยังไง จะได้ไม่ตีกัน (เลขทั้งหมดเป็นค่าตัวอย่าง — ปรับเป็นของตัวเองได้)
- ในอุโมงค์ WireGuard วางเป็น
10.10.0.0/24— VPS =10.10.0.1, เกตเวย์บ้าน =10.10.0.2, client ไล่จาก10.10.0.3เป็นต้นไป - Server endpoint —
203.0.113.10:51820 - AllowedIPs ฝั่ง client —
10.10.0.0/24,192.168.1.0/24
range พวกนี้ปรับเป็นเลขอื่นได้ตามใจ ขอแค่ฝั่ง VPS กับฝั่งบ้านตั้งให้ตรงกันก็พอ หลักการเหมือนกันหมด
8. สำหรับคนดูฝั่งเซิร์ฟเวอร์เอง
ใครอยากดูสถานะจากฝั่ง server เองว่ามี peer ไหนต่อติดอยู่บ้าง ใช้ wg show ได้ทั้งสองฝั่ง
# ดูสถานะ tunnel บน VPS (hub)
ssh [email protected] "wg show"
# ดูบนเกตเวย์ที่บ้าน
ssh [email protected] "sudo wg show"
ถ้าจะเพิ่ม client เกินที่เตรียมไว้ ก็ generate config ใบใหม่ แล้วเอา [Peer] block ใหม่ไปใส่ใน wg0.conf ของ VPS จากนั้น reload ด้วย wg syncconf โดยไม่ต้องตัด tunnel เดิมที่ใช้อยู่ ทำได้แบบไม่กระทบคนที่ต่ออยู่
# reload config ใหม่ไม่ต้องตัด tunnel เดิม
wg syncconf wg0 <(wg-quick strip wg0)
ส่วนฝั่งเกตเวย์บ้านตั้งให้ทำ NAT (masquerade) ออกวง LAN และที่ firewall ของ VPS เปิด UDP พอร์ต WireGuard ไว้ช่องเดียวก็พอ อีกเรื่องที่ลืมไม่ได้ ทั้งสองฝั่งให้ตั้ง wg-quick ทำงานอัตโนมัติตอนบูตไว้ด้วย จะได้ไม่ต้องมาเปิดเองทุกครั้งหลังเครื่อง restart
# ตั้งให้ wg-quick ขึ้นเองตอนบูต (ทั้ง VPS และเกตเวย์บ้าน)
systemctl enable --now wg-quick@wg0
ส่วนตัวผมใช้ชุดนี้เข้าบ้านอยู่ทุกวัน ตั้งแต่ทำเสร็จก็ไม่ต้องไปแตะเรื่อง forward port ที่ราวเตอร์อีกเลย VPS ที่เคยเช่าค้างไว้ก็ได้ใช้งานคุ้มขึ้นเยอะ จากเครื่องที่จ่ายค่าเช่าทิ้งกลายเป็นประตูหลังเข้าบ้านที่พึ่งได้ทุกวัน ใครจะปรับ range IP หรือเปลี่ยนพอร์ตเป็นอย่างอื่นก็ตามสะดวก หลักการเดียวกันหมด
อยากให้เราทำให้ไหม?
ให้เราช่วยติดตั้ง ตั้งค่า ย้ายระบบ หรือแก้ปัญหาเซิร์ฟเวอร์ เพื่อให้คุณมีเวลาไปทำงานที่สำคัญกว่า
เคยเจองานแบบนี้ไหม? ติดตรงไหน?
มาแลกวิธีกันต่อในบอร์ด LinuxThai
ความคิดเห็น 0
ยังไม่มีความคิดเห็น — เป็นคนแรกเลย