ปลอดภัยบน Wi-Fi โรงแรม — และยังเชื่อมต่อกับบ้านได้

ถ้าใช้แพ็กเกจมือถือของตัวเองในประเทศตัวเองตลอดและไม่แตะ Wi-Fi สาธารณะหรือบัญชีสำคัญเลย VPN ก็ไม่จำเป็นมากนัก แต่สำหรับทริปต่างประเทศแทบทุกทริปที่ต้องใช้ Wi-Fi หรือเข้าบัญชีจากระยะไกล VPN อยู่ในกลุ่มของจำเป็นเดียวกับประกันการเดินทางและปลั๊กแปลงไฟ

• จะล็อกอินอะไรก็ตามผ่าน Wi-Fi โรงแรม สนามบิน หรือร้านกาแฟ: เครือข่ายเปิดหรือแชร์กันเป็นเหตุผลอันดับหนึ่งที่นักเดินทางต้องการ VPN ทุกอย่างที่พิมพ์ — รหัสผ่าน เซสชันธนาคาร อีเมล — อาจถูกดักจับโดยคนอื่นบนเครือข่ายเดียวกันได้หากไม่มีการป้องกันที่ถูกต้อง VPN เข้ารหัสทุกไบต์ก่อนออกจากเครื่อง ทำให้การดักจับเหล่านั้นอ่านไม่ออก
• อยากให้แอปธนาคาร การชำระเงิน และแอปที่บ้านยังใช้งานได้: ธนาคารและผู้ให้บริการชำระเงินหลายแห่งตรวจจับ IP ต่างประเทศแล้วล็อกเซสชันเพราะสงสัยว่าเป็นการฉ้อโกง VPN ส่งการเชื่อมต่อผ่านเซิร์ฟเวอร์ในประเทศไทยเพื่อให้ธนาคารเห็นที่อยู่ที่คุ้นเคยและยอมให้เข้าใช้งาน ถ้าไม่มี VPN อาจเช็กยอดเงิน ยืนยันการชำระด้วยบัตร หรือผ่านขั้นตอนยืนยันตัวตนสองชั้นไม่ได้
• คลังสตรีมมิง ข่าว หรือกีฬาที่ดูประจำมีความสำคัญ: บริการสตรีมมิงหมุนเวียนคลังคอนเทนต์ตามภูมิภาคเพราะเรื่องลิขสิทธิ์ เว็บข่าวและผู้แพร่ภาพกีฬาก็ทำแบบเดียวกัน การเชื่อมต่อ VPN ผ่านประเทศไทยดึงคลังคอนเทนต์ที่จ่ายเงินไว้จริง ๆ กลับมา รวมถึงการถ่ายทอดสดที่จะพลาดไปถ้าไม่มี VPN
• ปลายทางมีสภาพแวดล้อมเครือข่ายที่จำกัดการใช้งาน: บางเครือข่ายบล็อกแอปแชทยอดนิยม แพลตฟอร์มโซเชียล หรือบริการคลาวด์ VPN เจาะผ่านการบล็อกนั้นได้ เพราะเครือข่ายท้องถิ่นเห็นแค่ทราฟฟิกที่เข้ารหัสไปยังเซิร์ฟเวอร์ VPN ไม่เห็นว่ากำลังใช้บริการอะไรอยู่จริง

VPN (Virtual Private Network) สร้างอุโมงค์เข้ารหัสระหว่างเครื่องกับเซิร์ฟเวอร์ที่ผู้ให้บริการ VPN ดูแล ทุกอย่างที่ส่งออกไปวิ่งผ่านอุโมงค์นี้ก่อนจะไปถึงอินเทอร์เน็ตวงกว้าง สำหรับใครก็ตามที่เฝ้าดูเครือข่ายอยู่ — ระบบ Wi-Fi ของโรงแรม แขกคนอื่นบน SSID เดียวกัน ผู้ให้บริการอินเทอร์เน็ตท้องถิ่น — ทราฟฟิกจะดูเหมือนข้อมูลเข้ารหัสไร้ความหมายที่ไหลไปยังเซิร์ฟเวอร์แห่งหนึ่ง อ่านข้อมูล ดูว่าเข้าเว็บไหน หรือดักรหัสผ่านไม่ได้

เซิร์ฟเวอร์ VPN ทำหน้าที่เป็นตัวกลาง รับคำขอที่เข้ารหัสมา ถอดรหัส ส่งต่อไปยังเว็บไซต์หรือแอปที่ต้องการจริง รับคำตอบกลับมา เข้ารหัสอีกครั้ง แล้วส่งกลับผ่านอุโมงค์มาที่เครื่อง จากมุมมองของเว็บไซต์ คำขอมาจากตำแหน่งของเซิร์ฟเวอร์ VPN ไม่ใช่ตำแหน่งจริง นี่คือเหตุผลที่ VPN ทำให้ยังใช้แอปธนาคารและคลังสตรีมมิงได้ตามปกติ — เท่าที่บริการเหล่านั้นเห็น ก็ยังเหมือนอยู่ที่บ้าน

ทั้งหมดนี้เกิดขึ้นต่อเนื่องและไม่มีใครสังเกตเห็น เมื่อเชื่อมต่อ VPN แล้ว ใช้มือถือหรือโน้ตบุ๊กได้ตามปกติทุกอย่าง หน้าเว็บโหลดได้ แอปทำงาน อีเมลส่งและรับได้ ความต่างอย่างเดียวคือทุกอย่างถูกเข้ารหัสระหว่างทาง และตำแหน่งจริงถูกซ่อนไว้

Wi-Fi สาธารณะคือเหตุผลอันดับหนึ่งที่นักเดินทางหันมาใช้ VPN และความเสี่ยงนี้ไม่ใช่แค่ทฤษฎี ล็อบบี้โรงแรม อาคารผู้โดยสาร ชานชาลาสถานี และร้านกาแฟล้วนใช้เครือข่ายแบบเปิดหรือแชร์กัน บนเครือข่ายเหล่านั้น ผู้ไม่หวังดีที่มีเครื่องมือพื้นฐานสามารถแทรกตัวเองระหว่างเครื่องกับเราเตอร์ในรูปแบบที่เรียกว่า man-in-the-middle attack — อ่านข้อมูลที่ผ่านไปมาโดยไม่รู้ตัว รูปแบบที่พบบ่อยกว่าคือ evil twin: ฮอตสปอตปลอมที่ตั้งชื่อคล้าย Hotel_Guest_WiFi ดูเหมือนของจริงแต่จริง ๆ แล้วผู้ไม่หวังดีเป็นคนควบคุม เครื่องจะเกาะสัญญาณที่แรงที่สุดโดยอัตโนมัติ และตั้งแต่วินาทีนั้นทุกอย่างที่ส่งออกไปจะผ่านอุปกรณ์ที่ไม่ได้ควบคุมเอง

เว็บสมัยใหม่ส่วนใหญ่ใช้ HTTPS ซึ่งเข้ารหัสเนื้อหาของแต่ละเซสชันเบราว์เซอร์ แต่ HTTPS ไม่ครอบคลุมทุกอย่าง ไม่ครอบคลุมแอปอีเมลที่เช็กอีเมลใหม่อยู่เบื้องหลัง ไม่ครอบคลุมข้อมูลเมทาดาต้าของแอปแชทส่วนใหญ่ ไม่ครอบคลุมการค้นหา DNS ที่เผยโดเมนทุกแห่งที่เข้าอย่างเงียบ ๆ VPN เข้ารหัสทั้งหมดนี้ในระดับเครื่อง ก่อนที่เครือข่ายจะเห็นด้วยซ้ำ แม้บน Wi-Fi ที่ถูกเจาะแล้ว ผู้ดูแลเครือข่ายก็ได้ข้อมูลที่อ่านไม่ออกอยู่ดี

อีกกลุ่มหนึ่งคือบริการที่รู้ตำแหน่งภูมิศาสตร์ เว็บธนาคารตรวจจับ IP ต่างประเทศแล้วเปิดระบบป้องกันการฉ้อโกง ล็อกบัญชีจนกว่าจะโทรหาฝ่ายบริการลูกค้า — ซึ่งลำบากมากเมื่ออยู่ห่างออกไปหกโซนเวลา แพลตฟอร์มสตรีมมิงแสดงคลังคอนเทนต์ที่ต่างออกไปหรือปิดกั้นไปเลย เว็บจองตั๋วเครื่องบินและโรงแรมบางครั้งปรับราคาตามตำแหน่งที่ตรวจจับได้ การเชื่อมต่อ VPN ผ่านเซิร์ฟเวอร์ในประเทศที่เลือกได้ยกเลิกทั้งหมดนี้ ธนาคารเห็นว่ายังอยู่ที่บ้าน บริการสตรีมมิงให้คลังคอนเทนต์ปกติ เว็บจองตั๋วปรับราคาตามตำแหน่งกับเราไม่ได้

และบนเครือข่ายที่กรองข้อมูลเข้มงวด — Wi-Fi องค์กร เครือข่ายโรงแรมบางแห่ง ระบบกรองข้อมูลระดับประเทศบางระบบ — VPN คุณภาพดีเจาะผ่านไปได้ตรง ๆ เพราะระบบกรองเห็นแค่ทราฟฟิกเข้ารหัสไปยังเซิร์ฟเวอร์ VPN บริการที่ใช้งานจริงยังคงมองไม่เห็นจากระบบกรอง

• VPN ไม่ได้ทำให้ไม่ระบุตัวตน: ผู้ให้บริการ VPN เห็น IP จริงและเว็บที่เชื่อมต่อ ผู้ให้บริการที่น่าเชื่อถือให้คำมั่นเรื่องนโยบายไม่เก็บล็อกที่ผ่านการตรวจสอบจากบริษัทอิสระแล้ว แต่นั่นก็ยังเป็นคำมั่นของเขา — ต้องเชื่อใจ ถ้าเป้าหมายจริง ๆ คือไม่ระบุตัวตนอย่างสมบูรณ์ (ซึ่งไม่ใช่กรณีทั่วไปของนักเดินทาง) VPN อย่างเดียวไม่พอ
• VPN ทำให้การเชื่อมต่อช้าลงเล็กน้อย: การเข้ารหัสใช้พลังประมวลผลเล็กน้อยและการส่งผ่านเซิร์ฟเวอร์ระยะไกลเพิ่มระยะทาง ผู้ให้บริการคุณภาพดีมักทำให้ความเร็วลดลง 10-30% จากความเร็วดิบ — แทบไม่รู้สึกสำหรับการเข้าเว็บและอีเมล รู้สึกได้ชัดกว่าสำหรับวิดีโอคอลและการดาวน์โหลดไฟล์ใหญ่ เลือกเซิร์ฟเวอร์ที่อยู่ใกล้ตำแหน่งจริงที่สุดเพื่อลดผลกระทบ
• บางเครือข่ายพยายามบล็อก VPN อย่างจริงจัง: Wi-Fi องค์กรบางแห่ง captive portal ของโรงแรมบางแห่ง และระบบกรองบางระบบใช้ deep packet inspection เพื่อระบุและตัดทราฟฟิก VPN ผู้ให้บริการระดับพรีเมียมรับมือด้วยฟีเจอร์พรางสัญญาณที่ทำให้ทราฟฟิก VPN ดูเหมือนการท่องเว็บ HTTPS ธรรมดา เมื่อการเชื่อมต่อล้มเหลว การสลับโปรโตคอลหรือเปิดโหมดพรางสัญญาณมักแก้ปัญหาได้
• บางบริการตรวจจับการใช้ VPN ได้: ธนาคารและบริการสตรีมมิงเก็บรายชื่อช่วง IP ของผู้ให้บริการ VPN ที่รู้จัก บางรายบล็อกช่วงเหล่านั้นไปเลย บางรายให้เข้าได้แต่ทำเครื่องหมายเซสชันไว้ตรวจสอบเพิ่ม — รหัสเพิ่ม การระงับชั่วคราว การแจ้งเตือนตามหลัง นี่คือระบบความปลอดภัยทำงานตามที่ออกแบบไว้ ไม่ใช่ข้อบกพร่อง การแจ้งวันเดินทางให้ธนาคารทราบล่วงหน้าช่วยลดความติดขัดได้มาก

• ติดตั้งบนทุกอุปกรณ์ที่จะพกไปด้วย: มือถือ โน้ตบุ๊ก แท็บเล็ต ผู้ให้บริการระดับพรีเมียมให้เชื่อมต่อพร้อมกันได้ห้าถึงสิบเครื่องต่อบัญชี จึงป้องกันได้ทุกอุปกรณ์โดยไม่ต้องสลับล็อกอิน ควรติดตั้งแอปเนทีฟแทนส่วนขยายเบราว์เซอร์ — ส่วนขยายเข้ารหัสแค่แท็บเบราว์เซอร์ แอปเนทีฟเข้ารหัสทุกอย่างที่เครื่องส่งออก
• ทดสอบกับงานที่ใช้จริง: เชื่อมต่อเซิร์ฟเวอร์ในประเทศไทยแล้วตรวจสิ่งที่ต้องใช้จริง: ธนาคารล็อกอินได้ไหม รหัสยืนยันตัวตนสองชั้นของแอปธนาคารมาถึงไหม คลังสตรีมมิงเล่นได้ไหม เครื่องมือทำงานโหลดได้ไหม จากนั้นลองเซิร์ฟเวอร์ใกล้ปลายทางแล้วตรวจแบบเดียวกัน ถ้ามีอะไรใช้ไม่ได้ที่บ้าน ก็จะใช้ไม่ได้ที่ต่างประเทศเช่นกัน — แก้ไว้ตั้งแต่ตอนนี้
• เปิด kill switch: kill switch คือฟีเจอร์ที่สำคัญที่สุดสำหรับการเดินทาง มันบล็อกทราฟฟิกอินเทอร์เน็ตทั้งหมดถ้าการเชื่อมต่อ VPN หลุดโดยไม่คาดคิด — ซึ่งเกิดขึ้นตอนโน้ตบุ๊กตื่นจากโหมดพัก ตอนสลับเครือข่าย Wi-Fi หรือตอนสัญญาณโรงแรมไม่เสถียร ถ้าไม่เปิดไว้ เครื่องจะกลับไปใช้เครือข่ายที่ไม่มีการป้องกันโดยเงียบ ๆ และแอปธนาคารอาจส่งคำขอด้วย IP จริงก่อนที่จะรู้ตัว
• ตรวจสอบการป้องกัน DNS รั่วไหล: การค้นหา DNS แปลงชื่อเว็บไซต์เป็นที่อยู่ ถ้าการค้นหานั้นรั่วออกนอกอุโมงค์ VPN ใครก็ตามที่เฝ้าดูเครือข่ายจะเห็นทุกโดเมนที่เข้า แม้เนื้อหาหน้าเว็บจะเข้ารหัสอยู่ก็ตาม แอป VPN คุณภาพดีส่ง DNS ผ่านอุโมงค์โดยอัตโนมัติ แต่ควรยืนยันด้วยเว็บทดสอบ DNS รั่วไหลตอนเชื่อมต่ออยู่
• เตรียมโปรโตคอลสำรองไว้: ถ้าโปรโตคอลเริ่มต้นเชื่อมต่อที่ปลายทางไม่ได้ การรู้วิธีสลับสำคัญมาก ผู้ให้บริการส่วนใหญ่มีตัวเลือกหลายแบบ — WireGuard, OpenVPN บางรายมีโหมดพรางสัญญาณเฉพาะของตัวเอง การสลับจาก WireGuard ไปเป็น OpenVPN-over-TCP-443 (ที่ระบบกรองส่วนใหญ่มองว่าเป็นทราฟฟิกเว็บธรรมดา) คือวิธีแก้ปัญหามาตรฐาน

• ใช้ VPN ฟรี: ผู้ให้บริการ VPN ฟรีต้องการรายได้ และถ้าไม่ได้จ่ายด้วยเงิน ก็กำลังจ่ายด้วยข้อมูล ผู้ให้บริการฟรีมักหารายได้ด้วยการขายข้อมูลการเข้าเว็บให้โฆษณา แทรกโฆษณาลงในหน้าเว็บ หรือรันโปรเซสที่กินทรัพยากรเครื่องหนัก ๆ แอปฟรีชื่อดังหลายตัวเคยถูกจับได้ว่าทำทั้งสามอย่างพร้อมกัน เครื่องมือความปลอดภัยที่ติดตั้งมาเพื่อปกป้องข้อมูลกลับกลายเป็นตัวขุดข้อมูลเสียเอง VPN สำหรับเดินทางแบบเสียเงินราคาต่อเดือนถูกกว่ากาแฟหนึ่งแก้วที่สนามบินเสียอีก
• ไม่ทดสอบก่อนเดินทาง: มาเจอตอนอยู่ต่างประเทศว่าแอปติดตั้งไม่ได้ การสมัครสมาชิกหมดอายุ หรือบริการถูกบล็อกที่ปลายทางเป็นเวลาที่แย่ที่สุดที่จะเพิ่งมารู้ การดาวน์โหลดแอปใหม่และแก้ปัญหาการเชื่อมต่อบนเครือข่ายต่างประเทศที่อาจมีข้อจำกัดด้านภาษาและแบนด์วิดท์ยากกว่าทำจากที่บ้านมาก
• ปิด VPN ตอนใช้ Wi-Fi สาธารณะ: VPN ป้องกันได้ก็ต่อเมื่อเชื่อมต่ออยู่จริง นักเดินทางหลายคนเปิด VPN แค่ตอนทำธุรกรรมธนาคารแต่เข้าเว็บทั่วไปโดยไม่เปิด ทำให้การค้นหา DNS ประวัติการเข้าเว็บ และทราฟฟิกแอปเบื้องหลังที่ไม่ได้เข้ารหัสแยกต่างหากเปิดเผยออกไป บน Wi-Fi สาธารณะ วิธีที่ปลอดภัยที่สุดคือเปิด VPN ไว้ตลอดเวลา
• ลืมเปิด kill switch: VPN ทำงานอยู่ กำลังเข้าเว็บอย่างปลอดภัย แล้ว Wi-Fi โรงแรมก็หลุดไปสามวินาที ถ้าไม่มี kill switch เครื่องจะเชื่อมต่อใหม่แบบไม่มีการป้องกันโดยเงียบ ๆ แอปธนาคารส่งคำขอด้วย IP จริง และช่วงเวลาสั้น ๆ นั้นก็เพียงพอให้ข้อมูลรั่วไหล kill switch มีไว้เพื่อสถานการณ์แบบนี้โดยเฉพาะ — เปิดไว้เสมอ
• คาดหวังว่าจะไม่ระบุตัวตนได้เต็มร้อย: VPN ป้องกันภัยคุกคามจากเครือข่ายท้องถิ่นและปลดล็อกบริการที่จำกัดตามภูมิภาคได้ แต่ไม่ได้ทำให้ล่องหนบนโลกออนไลน์ ผู้ให้บริการ VPN เอง เว็บไซต์ที่ล็อกอินเข้าไป (ผ่านคุกกี้และบัญชี) และตัวเครื่องเองยังระบุตัวตนได้อยู่ดี สำหรับวัตถุประสงค์การเดินทาง ระดับการป้องกันนี้มากกว่าพอแล้ว — แต่ควรเข้าใจขอบเขตไว้ให้ชัด

ตอนกด Connect เครื่องและเซิร์ฟเวอร์ VPN จะทำการจับมือทางการเข้ารหัส (cryptographic handshake) ทั้งสองฝ่ายแลกเปลี่ยนกุญแจเข้ารหัสด้วยการเข้ารหัสแบบอสมมาตร — กระบวนการที่สร้างความลับร่วมกันโดยไม่เคยส่งความลับนั้นผ่านเครือข่ายเลย เมื่อการจับมือเสร็จสิ้น ทราฟฟิกทั้งหมดหลังจากนั้นจะถูกเข้ารหัสด้วยอัลกอริทึมสมมาตรที่เร็ว เช่น AES-256 หรือ ChaCha20

สองโปรโตคอลที่เจอบ่อยที่สุดจัดการเรื่องนี้ต่างกัน WireGuard คือค่าเริ่มต้นยุคใหม่: โค้ดเบสเล็กและตรวจสอบได้ง่าย (ประมาณ 4,000 บรรทัด เทียบกับหลายแสนบรรทัดของโปรโตคอลรุ่นเก่า) ใช้ UDP อย่างเดียว และมีประสิทธิภาพดีเยี่ยมบนมือถือที่แบตเตอรี่สำคัญ ข้อจำกัดหลักคือการใช้ UDP อย่างเดียวนี่แหละ — ผู้ดูแลเครือข่ายบล็อกได้ง่าย ๆ แค่ตัดทราฟฟิกที่ไม่ใช่ TCP บนพอร์ตแปลก ๆ

OpenVPN เป็นทางเลือกรุ่นเก่าที่ยืดหยุ่นกว่า รันได้ทั้ง UDP หรือ TCP และเมื่อตั้งค่าให้ใช้พอร์ต TCP 443 — พอร์ตเดียวกับที่เว็บ HTTPS ทุกเว็บใช้ — ไฟร์วอลล์พื้นฐานจะแยกออกจากการท่องเว็บปกติได้ยากมาก นี่ทำให้ OpenVPN เป็นตัวเลือกที่ดีกว่าบนเครือข่ายที่จำกัด แม้จะเสียความเร็วไปเล็กน้อยเมื่อเทียบกับ WireGuard

Deep packet inspection คือเทคนิคที่ระบบกรองขั้นสูงใช้ระบุทราฟฟิก VPN แม้บนพอร์ตมาตรฐาน ทุกโปรโตคอลมีรูปแบบไบต์เฉพาะตัวในส่วนหัวของแพ็กเก็ต — DPI ตรวจสอบรูปแบบเหล่านั้นเพื่อระบุและบล็อกการเชื่อมต่อ VPN ฟีเจอร์พรางสัญญาณรับมือด้วยการสุ่มส่วนหัวของแพ็กเก็ตและเติมทราฟฟิกให้ตรงกับลักษณะทางสถิติของการท่องเว็บ HTTPS ทั่วไป เป็นการแข่งขันทางเทคนิคที่ดำเนินต่อเนื่องระหว่างผู้ให้บริการ VPN กับระบบที่พยายามตรวจจับพวกเขา

DNS รั่วไหลเกิดขึ้นเมื่อเครื่องส่งการค้นหาชื่อโดเมนออกนอกอุโมงค์ ปกติแล้วเมื่อเข้าเว็บไซต์ เครื่องจะขอให้เซิร์ฟเวอร์ DNS แปลชื่อโดเมนเป็นที่อยู่ IP ถ้าการค้นหานั้นไปที่เซิร์ฟเวอร์ DNS ของผู้ให้บริการอินเทอร์เน็ตแทนที่จะเป็นของ VPN ผู้ให้บริการนั้น — และใครก็ตามที่เฝ้าดูเครือข่ายอยู่ — จะเห็นทุกเว็บที่เข้า แม้เนื้อหาหน้าเว็บจะเข้ารหัสอยู่ก็ตาม แอป VPN คุณภาพดีส่ง DNS ผ่านอุโมงค์โดยอัตโนมัติ แต่หน้าเว็บทดสอบการรั่วไหลของ DNS เป็นวิธีง่าย ๆ ที่ยืนยันได้

• iPhone ทำแบบนี้ให้อยู่แล้วด้วย iCloud Private Relay ไม่ใช่หรือ?: ไม่เชิง Private Relay เป็นฟีเจอร์ของ Safari และ Mail ไม่ใช่ VPN ระดับระบบ — ไม่เข้ารหัสทราฟฟิกจากแอปธนาคาร แอปอีเมลอื่นนอกจาก Apple Mail แอปแชท หรืออะไรอื่นนอก Safari และไม่ได้เปลี่ยนประเทศที่ปรากฏในแบบที่ทำให้ธนาคารพอใจหรือปลดล็อกคลังสตรีมมิงที่บ้านได้ Private Relay เป็นของแถมที่มีประโยชน์ แต่ไม่ใช่ตัวแทน VPN สำหรับการเดินทาง
• Netflix และบริการสตรีมมิงอื่นจะยังใช้ได้ไหม?: ส่วนใหญ่ใช้ได้ บางครั้งก็ติดขัดบ้าง บริการสตรีมมิงเก็บรายชื่อบล็อก IP ของผู้ให้บริการ VPN ที่รู้จัก ดังนั้นเซิร์ฟเวอร์หนึ่งอาจถูกบล็อกในขณะที่อีกเซิร์ฟเวอร์ในประเทศเดียวกันใช้ได้ปกติ วิธีแก้มาตรฐานคือสลับไปเซิร์ฟเวอร์อื่นในประเทศไทยจนกว่าจะเจอตัวที่เชื่อมต่อผ่านได้ ผู้ให้บริการระดับพรีเมียมหมุนเวียน IP อยู่เสมอ ซึ่งเป็นส่วนหนึ่งของสิ่งที่จ่ายเงินไปแลกมา
• ถ้าใช้แค่เน็ตมือถือของตัวเองต้องใช้ VPN ไหม?: เน็ตมือถือปลอดภัยกว่า Wi-Fi เปิดอย่างมีนัยสำคัญ — การเชื่อมต่อระหว่างมือถือกับเสาสัญญาณเข้ารหัสอยู่แล้ว จึงไม่เจอปัญหา man-in-the-middle หรือ evil twin แต่เน็ตมือถือไม่ได้แก้ปัญหาการบล็อกตามภูมิภาค (ธนาคารยังเห็น IP ต่างประเทศ คลังสตรีมมิงยังหมุนเวียนอยู่ดี) และไม่ได้เปลี่ยนความจริงที่ว่าผู้ให้บริการโรมมิ่งหรือค่ายมือถือท้องถิ่นยังเห็นได้ว่ากำลังเชื่อมต่อเว็บไหนอยู่ เหตุผลที่ต้องใช้ VPN อ่อนกว่าตอนใช้ Wi-Fi โรงแรม แต่ก็ไม่ใช่ศูนย์
• ควรเปิด VPN ตลอดเวลาตอนอยู่ต่างประเทศไหม?: บน Wi-Fi สาธารณะหรือแชร์กัน ควรเปิดไว้ตลอด บนแพ็กเกจมือถือของตัวเอง ความจำเป็นน้อยกว่าแต่ก็ยังเพิ่มความเป็นส่วนตัวและกันไม่ให้ธนาคารกับสตรีมมิงหมุนเวียนออกได้ ข้อแลกเปลี่ยนคือความเร็วลดลงเล็กน้อยและกินแบตเพิ่มขึ้นเล็กน้อย นักเดินทางที่มีประสบการณ์หลายคนเปิดไว้เป็นค่าเริ่มต้นและปิดเฉพาะตอนที่ต้องใช้ IP ท้องถิ่นจริง ๆ เช่น แอปนำทางที่ใช้ผ่าน VPN ไม่ได้
• VPN กินแบตมือถือไหม?: กินบ้าง การเข้ารหัสใช้พลังประมวลผลซึ่งใช้แบตเตอรี่ บนมือถือรุ่นใหม่ที่ใช้โปรโตคอลมีประสิทธิภาพอย่าง WireGuard ผลกระทบอยู่ที่ประมาณ 5-15% ของการใช้พลังงานเพิ่มเติมตลอดวัน — รู้สึกได้แต่ไม่ถึงกับแย่มาก ถ้าแบตเป็นเรื่องสำคัญในวันนั้น เปิด VPN เฉพาะตอนใช้ Wi-Fi หรือเข้าบริการสำคัญ แล้วปิดตอนใช้เน็ตมือถือในจังหวะที่รู้สึกว่าปลอดภัยพอ