สถาปัตยกรรมเส้นทางหลายต่อเพื่อเลี่ยงการเซ็นเซอร์ใน dVPN

ทำไมวีพีเอ็นแบบเชื่อมต่อจุดเดียว (Single-Hop) ถึงเริ่มไปไม่รอดในปี 2024

คุณเคยไหม? พยายามจะเข้าเว็บไซต์จากโรงแรมหรือในประเทศที่มีการปิดกั้นการเข้าถึงข้อมูล แล้วพบว่าวีพีเอ็นที่เคย "ไว้ใจได้" กลับค้างเติ่งไปเสียดื้อๆ ความน่าหงุดหงิดนี้เกิดขึ้นเพราะเทคโนโลยีที่เราใช้กันมานับทศวรรษกำลังเดินมาถึงทางตัน

ปัญหาใหญ่ที่สุดคือผู้ให้บริการยอดนิยมส่วนใหญ่มักใช้ช่วงเลขที่อยู่ไอพีของเซิร์ฟเวอร์ที่เป็นที่รู้จักกันดี สำหรับผู้ให้บริการอินเทอร์เน็ตหรือหน่วยงานเซ็นเซอร์ของรัฐ การตรวจพบคน 5,000 คนเชื่อมต่อพร้อมกันไปยังเลขที่อยู่เดียวในศูนย์ข้อมูลนั้นเป็นเรื่องที่ง่ายมาก จากรายงานดัชนีเสรีภาพทางอินเทอร์เน็ตปี 2023 โดยฟรีดอมเฮาส์ ระบุว่ารัฐบาลหลายประเทศมีความเชี่ยวชาญด้าน "การบล็อกทางเทคนิค" มากขึ้นเรื่อยๆ ซึ่งรวมถึงการคัดกรองเลขที่อยู่ไอพีด้วย

• การรวมศูนย์ของเซิร์ฟเวอร์: เมื่อคุณใช้วีพีเอ็นแบบมาตรฐาน คุณมักจะเชื่อมต่อเข้าไปยังช่วงเซิร์ฟเวอร์ที่ถูกระบุตัวตนได้ง่าย เมื่อช่วงเลขที่อยู่เหล่านั้นถูกหมายหัว บริการทั้งหมดก็จะใช้งานไม่ได้ทันทีสำหรับทุกคนในภูมิภาคนั้น
• การระบุอัตลักษณ์ที่ทำได้ง่าย: ปริมาณการรับส่งข้อมูลจากศูนย์ข้อมูลมีลักษณะที่แตกต่างจากทราฟฟิกอินเทอร์เน็ตตามบ้านอย่างสิ้นเชิง มันเหมือนกับการสวมเสื้อสีสะท้อนแสงเดินเข้าไปในซอยมืดๆ ที่ใครก็สังเกตเห็นได้ชัดเจน

การเข้ารหัสข้อมูลเพียงอย่างเดียวไม่ใช่คำตอบสุดท้ายอีกต่อไป เพราะระบบไฟร์วอลล์สมัยใหม่ใช้เทคโนโลยี การตรวจสอบแพ็กเก็ตเชิงลึก (DPI) เพื่อวิเคราะห์ "รูปแบบ" ของแพ็กเก็ตข้อมูล แม้ว่าพวกเขาจะอ่านเนื้อหาข้างในไม่ได้ แต่พวกเขาก็จำลักษณะการเชื่อมต่อของโพรโทคอลอย่างโอเพนวีพีเอ็น หรือแม้แต่ไวร์การ์ดได้อยู่ดี

"การเข้ารหัสแบบพื้นฐานช่วยซ่อนเนื้อหาของข้อความได้ แต่ไม่สามารถซ่อนความจริงที่ว่าคุณกำลังพยายามส่งข้อความลับตั้งแต่ต้น"

ในอุตสาหกรรมอย่างการเงินหรือสาธารณสุขที่พนักงานต้องเดินทางไปยังพื้นที่ที่มีความเสี่ยงสูง การพึ่งพาระบบวีพีเอ็นแบบเชื่อมต่อจุดเดียวเริ่มกลายเป็นความเสี่ยง หากผู้ให้บริการอินเทอร์เน็ตตรวจพบร่องรอยของวีพีเอ็น พวกเขาจะใช้วิธีบีบความเร็วให้เหลือเพียง 1 กิโลบิตต่อวินาที หรือตัดการเชื่อมต่อทิ้งทันที ดังนั้นเราจึงจำเป็นต้องเปลี่ยนไปใช้โครงสร้างเครือข่ายที่ดูเหมือนทราฟฟิกเว็บปกติทั่วไป ซึ่งเราจะมาเจาะลึกกันในส่วนของเทคโนโลยีการส่งต่อข้อมูลหลายทอด (Multi-hop) และเครือข่ายวีพีเอ็นแบบกระจายศูนย์ (dVPN) ในลำดับถัดไป

บทบาทของเครือข่ายโครงสร้างพื้นฐานทางกายภาพแบบกระจายศูนย์ (DePIN) ในการต่อต้านการเซ็นเซอร์

เคยสงสัยไหมว่าทำไมอินเทอร์เน็ตที่บ้านถึงรู้สึก "ปลอดภัย" และเข้าถึงข้อมูลได้มากกว่าไวไฟตามร้านกาแฟ? นั่นเป็นเพราะที่อยู่ไอพีระดับที่พักอาศัยมีคะแนนความน่าเชื่อถือที่ศูนย์ข้อมูลขนาดใหญ่ไม่สามารถเทียบชั้นได้

หัวใจสำคัญของเครือข่ายโครงสร้างพื้นฐานทางกายภาพแบบกระจายศูนย์ หรือที่เรียกว่า "ดีพิน" (DePIN) คือการเปลี่ยนบ้านพักอาศัยทั่วไปให้กลายเป็นกระดูกสันหลังของโลกเว็บ แทนที่จะไปเช่าพื้นที่วางเซิร์ฟเวอร์ในโกดังเก็บข้อมูล เรากำลังใช้ระบบการแบ่งปันแบนด์วิดท์แบบเครือข่ายระหว่างบุคคล (P2P) เพื่อส่งผ่านข้อมูลการจราจรทางอินเทอร์เน็ตผ่านห้องนั่งเล่นของผู้ใช้งานจริงทั่วโลก

• การพรางตัวด้วยไอพีที่พักอาศัย: เมื่อคุณใช้งานโหนดที่ตั้งอยู่ในบ้านของเพื่อนบ้าน ข้อมูลของคุณจะดูเหมือนการใช้งานทั่วไปอย่างการดูเน็ตฟลิกซ์หรือการประชุมผ่านซูม สิ่งนี้ทำให้การ "กรองไอพี" (IP filtering) ซึ่งรายงานจากฟรีดอมเฮาส์ระบุว่าเป็นภัยคุกคามที่เพิ่มขึ้นอย่างรวดเร็ว ทำได้ยากขึ้นมากสำหรับผู้ที่พยายามปิดกั้นการเข้าถึงข้อมูล
• ความหลากหลายของโหนด: เนื่องจากโหนดเหล่านี้ดำเนินการโดยบุคคลทั่วไปผ่านผู้ให้บริการอินเทอร์เน็ต (ISP) ที่แตกต่างกัน จึงไม่มี "ปุ่มปิดสวิตช์" เพียงจุดเดียว หากผู้ให้บริการในตุรกีบล็อกโหนดใดโหนดหนึ่ง ระบบจะทำการย้ายเส้นทางข้อมูลของคุณไปยังโหนดในไคโรหรือเบอร์ลินโดยอัตโนมัติ

ตามรายงานดีพินประจำปี 2024 โดยคอยน์เกกโก ระบุว่าการเติบโตของเครือข่ายแบบกระจายศูนย์ถูกขับเคลื่อนด้วย "ปรากฏการณ์กงล้อขับเคลื่อน" (Flywheel Effect) โดยรายงานระบุว่ามีการเพิ่มขึ้นของโหนดที่ใช้งานจริงในโปรโตคอลดีพินหลักๆ ถึงร้อยละ 400 ในปีที่ผ่านมา ซึ่งเป็นเหตุผลว่าทำไมเครือข่ายเหล่านี้จึงยากต่อการเซ็นเซอร์มากขึ้นเรื่อยๆ

1. การพิสูจน์แบนด์วิดท์: โหนดต่างๆ ต้องพิสูจน์ว่ามีความเร็วอินเทอร์เน็ตตามที่กล่าวอ้างจริงก่อนที่จะสามารถรับผลตอบแทนได้
2. การชำระเงินอัตโนมัติ: การชำระเงินรายย่อยเกิดขึ้นบนบล็อกเชน (On-chain) เพื่อให้มั่นใจว่าผู้ดูแลโหนดจะรักษาการเชื่อมต่อให้ออนไลน์อยู่เสมอ
3. ความเสี่ยงจากการถูกยึดสินทรัพย์: หากโหนดออฟไลน์หรือพยายามดักจับข้อมูลการจราจร พวกเขาจะสูญเสียโทเคนที่วางค้ำประกันไว้ทันที

ทำความเข้าใจสถาปัตยกรรมแบบหลายทอด (Multi-hop) ในระบบเครือข่ายส่วนตัวเสมือนแบบกระจายศูนย์ (dVPN)

หากการเชื่อมต่อแบบทอดเดียว (Single-hop) เปรียบเสมือนป้ายไฟนีออนที่สว่างจ้า การเชื่อมต่อแบบหลายทอด (Multi-hop) ก็เหมือนกับการหายตัวไปในฝูงชนที่สถานีรถไฟอันวุ่นวาย แทนที่จะส่งข้อมูลผ่านอุโมงค์ตรงไปยังศูนย์ข้อมูลเพียงแห่งเดียว ข้อมูลของคุณจะถูกส่งต่อผ่านโหนดที่พักอาศัยหลายแห่ง ทำให้ผู้ให้บริการอินเทอร์เน็ต (ISP) แทบจะเป็นไปไม่ได้เลยที่จะระบุว่าปลายทางที่แท้จริงของคุณอยู่ที่ไหน

ในระบบเครือข่ายส่วนตัวเสมือนแบบกระจายศูนย์ (dVPN) เราใช้ตรรกะที่คล้ายกับเครือข่ายทอร์ (Tor) แต่ได้รับการปรับแต่งให้มีความเร็วสูงขึ้น คุณไม่ได้เพียงแค่เชื่อมต่อกับ "เซิร์ฟเวอร์" ตัวใดตัวหนึ่ง แต่คุณกำลังสร้างวงจรการสื่อสารผ่านเครือข่ายชุมชน โดยแต่ละโหนดจะรู้เพียงที่อยู่ของโหนดก่อนหน้าและโหนดถัดไปเท่านั้น

• โหนดทางเข้า (Entry Nodes): นี่คือจุดพักแรกของคุณ โหนดนี้จะเห็นที่อยู่ไอพี (IP Address) จริงของคุณ แต่จะไม่ทราบเลยว่าปลายทางสุดท้ายของคุณคือที่ใด เนื่องจากโหนดเหล่านี้มักเป็นไอพีตามบ้าน (Residential IPs) จึงไม่ไปกระตุ้นระบบตรวจจับความปลอดภัยหรือไฟร์วอลล์ให้สงสัยเหมือนกับไอพีจาก "ศูนย์ข้อมูล" (Datacenter) ทั่วไป
• โหนดกลาง (Middle Nodes): ทำหน้าที่เป็นตัวกลางในการส่งต่อข้อมูลที่ถูกเข้ารหัสไว้ โหนดเหล่านี้จะไม่เห็นทั้งที่อยู่ไอพีและข้อมูลของคุณ เพราะทุกอย่างถูกหุ้มด้วยชั้นการเข้ารหัสอย่างหนาแน่นในทุกขั้นตอน
• โหนดทางออก (Exit Nodes): นี่คือจุดที่ข้อมูลของคุณออกสู่โลกอินเทอร์เน็ตสาธารณะ สำหรับเว็บไซต์ที่คุณกำลังเข้าชม คุณจะดูเหมือนผู้ใช้งานทั่วไปที่กำลังท่องเว็บจากอินเทอร์เน็ตที่บ้านในพื้นที่นั้นๆ

คุณอาจสงสัยว่าทำไมใครบางคนในเบอร์ลินหรือโตเกียวถึงยอมให้ข้อมูลของคุณวิ่งผ่านเราเตอร์ในบ้านของเขา? นี่คือจุดที่เทคโนโลยีเว็บสาม (Web3) เข้ามามีบทบาทสำคัญ ในเครือข่ายแบบเพียร์ทูเพียร์ (P2P) ผู้ดูแลโหนดจะได้รับรางวัลเป็นโทเคนเพื่อตอบแทนการแบ่งปันแบนด์วิดท์ (Bandwidth)

ลองนึกภาพว่ามันคือ "แอร์บีแอนด์บี (Airbnb) สำหรับแบนด์วิดท์" หากผมมีการเชื่อมต่ออินเทอร์เน็ตผ่านไฟเบอร์ความเร็วหนึ่งกิกะบิตต่อวินาที (1Gbps) แต่ใช้งานจริงเพียงเสี้ยวเดียว ผมสามารถเปิดโหนดทิ้งไว้เพื่อขุดเหรียญหรือรับรางวัลเป็นคริปโตเคอร์เรนซีได้ สิ่งนี้ทำให้เกิดแหล่งรวมที่อยู่ไอพีแบบกระจายตัวขนาดมหึมาที่เติบโตขึ้นอย่างต่อเนื่องไม่หยุดยั้ง

ก้าวล้ำไปอีกขั้นด้วยข้อมูลเจาะลึกจาก สเควิร์ลวีพีเอ็น (SquirrelVPN)

สเควิร์ลวีพีเอ็น คือเครื่องมือที่ช่วยเปลี่ยนความยุ่งยากซับซ้อนให้กลายเป็นเรื่องง่าย ด้วยการเชื่อมต่อเข้ากับเครือข่ายแบบเพียร์ทูเพียร์ที่กระจายตัวอยู่ทั่วโลกโดยอัตโนมัติ ซึ่งทำหน้าที่เป็นเสมือนสะพานเชื่อมระหว่างอุปกรณ์ของคุณกับระบบนิเวศโครงสร้างพื้นฐานทางกายภาพแบบกระจายศูนย์ หรือ ดีพิน (DePIN)

คุณเคยรู้สึกเหมือนกำลังเล่นเกมไล่จับกับสัญญาณอินเทอร์เน็ตของตัวเองบ้างไหม? วันนี้ตั้งค่าใช้งานได้ปกติ แต่พอเช้าวันต่อมากลับต้องมานั่งจ้องหน้าจอที่แจ้งเตือนว่าการเชื่อมต่อขาดหาย เพียงเพราะระบบคัดกรองข้อมูลส่วนกลางมองว่าการรับส่งข้อมูลของไวร์การ์ด (WireGuard) ของคุณนั้นดู "น่าสงสัย"

เพื่อให้ก้าวทันสถานการณ์ เราต้องเลิกมองว่า วีพีเอ็น เป็นเพียงแค่ท่อส่งข้อมูลที่คงที่ ความมหัศจรรย์ที่แท้จริงเกิดขึ้นเมื่อเราใช้งานโปรโตคอลแบบซ้อนทับกัน ตัวอย่างเช่น การห่อหุ้มไวร์การ์ดไว้ภายในอุโมงค์ ทีแอลเอส (TLS) หรือการใช้เครื่องมือพรางตัวอย่าง แชโดว์ซ็อกส์ (Shadowsocks) เพื่อทำให้ทราฟฟิกอินเทอร์เน็ตของคุณดูเหมือนการเข้าชมเว็บไซต์ทั่วไป

ในบริบทของการส่งข้อมูลผ่านหลายโหนด (Multi-hop) การพรางตัวนี้มักจะถูกจัดการโดยซอฟต์แวร์ฝั่งผู้ใช้งาน ก่อนที่ข้อมูลจะไปถึงโหนดทางเข้าเสียด้วยซ้ำ วิธีนี้ช่วยให้มั่นใจได้ว่าการเชื่อมต่อใน "ก้าวแรก" ของคุณจะถูกซ่อนไว้จากการตรวจสอบของผู้ให้บริการอินเทอร์เน็ตในพื้นที่อย่างมิดชิด

• การเลือกเส้นทางแบบไดนามิก: ไคลเอนต์ของระบบวีพีเอ็นแบบกระจายศูนย์ (dVPN) ยุคใหม่ไม่ได้เป็นแค่การสุ่มเลือกโหนด แต่จะมีการทดสอบความหน่วง (Latency) และการสูญเสียแพ็กเก็ตข้อมูลในหลายจุดเชื่อมต่อแบบเรียลไทม์
• การหมุนเวียนไอพีที่พักอาศัย: เนื่องจากโหนดเหล่านี้เชื่อมต่อผ่านอินเทอร์เน็ตบ้าน จึงไม่มี "ร่องรอยของดาต้าเซ็นเตอร์" ที่มักจะไปกระตุ้นระบบบล็อกอัตโนมัติในแอปพลิเคชันช้อปปิ้งออนไลน์หรือแอปฯ ทางการเงิน
• การพรางตัวโปรโตคอล: โหนดระดับสูงจะใช้เทคนิคการอำพรางเพื่อซ่อนส่วนหัวของไวร์การ์ด ทำให้การรับส่งข้อมูลดูเหมือนการเรียกใช้งาน เอชทีทีพีเอส (HTTPS) ตามปกติ

หัวใจสำคัญคือความยืดหยุ่นและการฟื้นตัว หากโหนดใดโหนดหนึ่งหยุดทำงานหรือถูกขึ้นบัญชีดำ เครือข่ายจะทำการเปลี่ยนเส้นทางใหม่เพื่อข้ามจุดนั้นไปโดยอัตโนมัติ ในลำดับถัดไป เราจะมาดูวิธีการตั้งค่าโครงข่ายแบบเพียร์ทูเพียร์เหล่านี้ในทางปฏิบัติกันครับ

ความท้าทายทางเทคนิคของการทำอุโมงค์ข้อมูลแบบหลายทอด (Multi-hop Tunneling)

การสร้างเครือข่ายเมชแบบหลายทอดไม่ได้เป็นเพียงแค่การนำเซิร์ฟเวอร์มาเชื่อมต่อกันเป็นทอดๆ เท่านั้น แต่มันคือการต่อสู้กับข้อจำกัดทางฟิสิกส์ในขณะที่ยังต้องรักษาความเป็นส่วนตัวอย่างมิดชิด ทุกๆ "ทอด" (Hop) ที่เพิ่มเข้ามาหมายถึงระยะทางที่ข้อมูลต้องเดินทางไกลขึ้น และหากโปรโตคอลการหาเส้นทางไม่มีประสิทธิภาพเพียงพอ ความเร็วอินเทอร์เน็ตของคุณจะช้าจนเหมือนย้อนกลับไปยุคต่อสายโทรศัพท์

• ภาระงานในการประมวลผลเส้นทาง (Routing Overhead): ในแต่ละทอด ข้อมูลจำเป็นต้องผ่านกระบวนการเข้ารหัสและถอดรหัสใหม่เสมอ หากคุณเลือกใช้เทคโนโลยีที่กินทรัพยากรสูงอย่างโอเพนวีพีเอ็น (OpenVPN) หน่วยประมวลผลกลางจะทำงานหนักเกินไป ด้วยเหตุนี้เราจึงเลือกใช้ ไวร์การ์ด (WireGuard) ที่มีชุดรหัสขนาดเล็กและทำงานได้รวดเร็วกว่ามาก
• การเพิ่มประสิทธิภาพเส้นทาง (Path Optimization): เราไม่สามารถสุ่มเลือกโหนดแบบมั่วๆ ได้ ซอฟต์แวร์ฝั่งผู้ใช้ที่ชาญฉลาดจะใช้การหาเส้นทางแบบ "คำนึงถึงความหน่วง" (Latency-aware) เพื่อค้นหาเส้นทางที่สั้นที่สุดผ่านเลขที่อยู่ไอพีตามที่พักอาศัยที่มีความน่าเชื่อถือสูงที่สุด

เราจะมั่นใจได้อย่างไรว่าผู้ให้บริการโหนดไม่ใช่ "ไซบิลโหนด" (Sybil Node - สถานการณ์ที่ผู้ไม่หวังดีสร้างตัวตนปลอมจำนวนมากเพื่อครอบงำเครือข่าย) ที่กำลังโกหกเรื่องความเร็วอินเทอร์เน็ตของตนเอง? เราจำเป็นต้องมีวิธีการตรวจสอบปริมาณการรับส่งข้อมูลโดยไม่ละเมิดความเป็นส่วนตัว

• การตรวจสอบเชิงรุก (Active Probing): เครือข่ายจะส่งแพ็กเก็ตข้อมูลเข้ารหัสแบบ "ขยะ" เพื่อวัดขีดความสามารถในการรับส่งข้อมูลจริงในขณะนั้น
• ข้อกำหนดในการวางเงินค้ำประกัน (Staking Requirements): ตามที่ได้อธิบายไปในส่วนของผลตอบแทนในเครือข่ายโครงสร้างพื้นฐานทางกายภาพแบบกระจายศูนย์ (DePIN) โหนดต่างๆ จะต้องล็อกโทเคนไว้ หากพวกเขาไม่สามารถผ่านการพิสูจน์แบนด์วิดท์ (Bandwidth Proof) ได้ โทเคนเหล่านั้นจะถูกริบ (Slashing) ทันที

ภาคผนวก: ตัวอย่างการกำหนดค่าการเชื่อมต่อแบบหลายโหนด (Multi-Hop)

เพื่อให้คุณเห็นภาพการทำงานเบื้องลึก นี่คือตัวอย่างแบบง่ายในการเชื่อมต่อโหนดไวร์การ์ดสองโหนดเข้าด้วยกัน ในระบบเครือข่ายส่วนตัวเสมือนแบบกระจายศูนย์ (ดีวีพีเอ็น) จริง ซอฟต์แวร์ฝั่งผู้ใช้งานจะจัดการเรื่องการแลกเปลี่ยนกุญแจรหัสและการตั้งค่าตารางเส้นทางให้โดยอัตโนมัติ แต่หลักการทำงานพื้นฐานยังคงเหมือนเดิม

การกำหนดค่าฝั่งผู้ใช้งาน (เชื่อมต่อไปยังโหนดทางเข้า):

[Interface]
PrivateKey = <กุญแจส่วนตัวของผู้ใช้งาน>
Address = 10.0.0.2/32
DNS = 1.1.1.1

# โหนดทางเข้า (Entry Node)
[Peer]
PublicKey = <กุญแจสาธารณะของโหนดทางเข้า>
Endpoint = 1.2.3.4:51820
AllowedIPs = 0.0.0.0/0

การกำหนดเส้นทางที่โหนดทางเข้า (ส่งต่อไปยังโหนดทางออก): ที่โหนดทางเข้า เราไม่ได้ทำแค่การถอดรหัสข้อมูลเท่านั้น แต่เราจะส่งต่อปริมาณข้อมูลผ่านอินเทอร์เฟซของไวร์การ์ดอีกตัวหนึ่ง (wg1) ซึ่งชี้ไปยังโหนดทางออก (Exit Node)

# ส่งต่อปริมาณข้อมูลจาก wg0 ไปยัง wg1
iptables -A FORWARD -i wg0 -o wg1 -j ACCEPT
iptables -t nat -A POSTROUTING -o wg1 -j MASQUERADE

ตัวอย่างการพรางตัวข้อมูล (ใช้แชโดว์ซอกส์ครอบทับ): หากคุณใช้แชโดว์ซอกส์เพื่อปกปิดการทำความรู้จักกัน (Handshake) ของไวร์การ์ด เครื่องของผู้ใช้งานจะเชื่อมต่อไปยังพอร์ตภายในเครื่องที่สร้างอุโมงค์ข้อมูลไปยังเซิร์ฟเวอร์ปลายทาง:

ss-local -s <ไอพีปลายทาง> -p 8388 -l 1080 -k <รหัสผ่าน> -m aes-256-gcm
# จากนั้นจึงส่งข้อมูลไวร์การ์ดผ่านพร็อกซี socks5 ภายในเครื่องนี้

ว่ากันตามตรง เทคโนโลยีนี้ยังคงอยู่ในช่วงของการพัฒนา แต่ดังที่ระบุไว้ในรายงานของคอยน์เก็กโกก่อนหน้านี้ การเติบโตอย่างมหาศาลของเครือข่ายเหล่านี้แสดงให้เห็นว่าเรากำลังเคลื่อนที่ไปสู่อินเทอร์เน็ตแบบเพียร์ทูเพียร์ที่มีความยืดหยุ่นและทนทานมากขึ้น แม้ว่ามันจะยังมีความซับซ้อนอยู่บ้าง แต่นี่คือโครงสร้างพื้นฐานที่เป็นของพวกเราทุกคน ขอให้ใช้งานอย่างปลอดภัยและตรวจสอบการตั้งค่าของคุณให้รัดกุมอยู่เสมอ