การออกแบบ VLAN Isolation แยกเครือข่ายพนักงานและ Guest WiFi

วันอังคารที่แล้ว มีลูกค้า SME รายหนึ่งโทรหาผมด้วยน้ำเสียงตื่นตระหนก ฝ่ายบัญชีแจ้งว่าไฟล์เอกสารเงินเดือนพนักงานใน NAS ไปโผล่บนหน้าจอ Smart TV ห้องรับรองลูกค้า เพราะผู้มาติดต่อลองกด Cast หน้าจอเพลินๆ แต่ระบบดันค้นเจออุปกรณ์ทุกชิ้นในออฟฟิศ พอผมเข้าตรวจสอบก็พบปัญหายอดฮิต นั่นคือทั้งออฟฟิศใช้เครือข่ายแบบ Flat Network สายแลนพนักงาน Access Point และ Guest WiFi เชื่อมต่อเข้ากับ Managed Switch แบบไม่ได้แบ่งวง ทุกคนอยู่บน Broadcast Domain เดียวกันหมด

ถ้าวันนั้นผู้มาติดต่อไม่ใช่ลูกค้าทั่วไป แต่เป็นแฮกเกอร์ที่ตั้งใจเข้ามาแสกนพอร์ตเพื่อปล่อย Ransomware ข้อมูลทั้งบริษัทคงถูกล็อกรหัสไปแล้ว บทความนี้ผมจึงอยากมาแชร์แนวทางการทำ การออกแบบ VLAN Isolation ที่ผมใช้จริงในการเซ็ตระบบให้ลูกค้า SIAM-LOGIN เพื่อแยกเครือข่ายอย่างปลอดภัยและได้มาตรฐานจริง

ทำไม Flat Network ถึงเป็นจุดอ่อนร้ายแรงขององค์กร

หลายออฟฟิศมักง่ายด้วยการติด Router ตัวเดียวแล้วแจก IP 192.168.1.X ให้ทั้งตึก ซึ่งสร้างความเสี่ยงใหญ่หลวง 3 ข้อ:

• ไม่มีแนวป้องกันภายใน (Lateral Movement): ถ้าโน้ตบุ๊กของแขกติดมัลแวร์ มัลแวร์จะสามารถแสกนเจอ NAS, Server และคอมพิวเตอร์ของพนักงานฝ่ายบัญชีได้ทันที
• Broadcast Storm: อุปกรณ์จำนวนมากส่งแพ็กเก็ตกระจายสัญญาณรบกวนกันเอง ทำให้ WiFi อืดโดยไม่ทราบสาเหตุ
• ไร้การควบคุมสิทธิ์ access Control: แขกสามารถเข้าหน้า Admin ของ Access Point หรือ Router ได้หากไม่ได้บล็อกพอร์ตไว้

แนวทางการวางโครงสร้างระบบด้วย 802.1Q VLAN Tagging

ในการทำงานจริง ผมจะแบ่งวง Network ด้วยมาตรฐาน 802.1Q VLAN บน MikroTik Router ร่วมกับ L2/L3 Network Switch โดยแบ่งออกเป็น 3 วงหลักๆ ดังนี้ครับ

1. Management VLAN (VLAN ID 10)

ใช้สำหรับบริหารจัดการอุปกรณ์เครือข่ายเท่านั้น เช่น IP ของ Router, Switch และ Access Point (เช่น วง 10.0.10.0/24) วงนี้จะไม่อนุญาตให้พนักงานหรือแขกเข้าถึงเด็ดขาด

2. Staff Network (VLAN ID 20)

สำหรับคอมพิวเตอร์และโน้ตบุ๊กพนักงาน (เช่น วง 10.0.20.0/24) สามารถเข้าถึง Local NAS, Network Printer และ Server ภายในองค์กรได้ตามสิทธิ์ที่กำหนด

3. Guest WiFi (VLAN ID 30)

สำหรับผู้มาติดต่อหรืออุปกรณ์ IoT สื่อสาร (เช่น วง 10.0.30.0/24) วงนี้จะถูกจำกัดให้วิ่งออก Internet ได้เพียงอย่างเดียว ไม่สามารถเห็นอุปกรณ์ใน VLAN 10 และ 20 ได้เลย

3 ขั้นตอนสำคัญในการทำ VLAN Isolation ให้สมบูรณ์

การสร้าง VLAN บน Switch เพียงอย่างเดียวไม่เพียงพอต่อการป้องกัน Cyber Attack ผมมักจะย้ำกับทีมช่างเสมอว่าต้องตั้งค่า 3 ส่วนนี้ให้ครบถ้วน:

ขั้นตอนที่ 1: การกำหนด Trunk Port และ Access Port บน Switch

สายแลนที่วิ่งจาก Router ไปหา Managed Switch และจาก Switch ไปหา Access Point ต้องตั้งค่าเป็น Trunk Port เพื่อยอมให้ VLAN Tag ของทุกวงวิ่งผ่าน ส่วนพอร์ตที่เสียบเข้าคอมพิวเตอร์พนักงานให้ตั้งเป็น Access Port ตาม VLAN นั้นๆ

ขั้นตอนที่ 2: เขียน Firewall Rule บล็อก Inter-VLAN Routing

ตามธรรมดา Router จะทำการ Routing ข้อมูลข้าม VLAN ให้อัตโนมัติ เราจึงต้องเขียน Firewall Rule บน Router เพื่อบล็อก Traffic ดังนี้:

• Drop traffic จาก Source: VLAN 30 (Guest) ไปยัง Destination: VLAN 20 (Staff)
• Drop traffic จาก Source: VLAN 30 (Guest) ไปยัง Destination: VLAN 10 (Management)
• Drop traffic จาก Source: VLAN 30 (Guest) ไปยัง IP Router Admin Port (80, 443, 8291) เพื่อป้องกันการแอบล็อกอิน router

ขั้นตอนที่ 3: เปิดใช้งาน Client Isolation บน Access Point

แม้เราจะบล็อกไม่ให้ Guest WiFi วิ่งไปหาพนักงานได้แล้ว แต่แขกที่ต่อ WiFi วง Guest เดียวกันยังอาจแอบสแกนเครื่องกันเองได้ ดังนั้นบน Access Point ต้องเปิดฟีเจอร์ Client Isolation (หรือ Station Isolation) เพื่อห้ามไม่ให้แขกเครื่อง A คุยกับแขกเครื่อง B ใน L2 Level

ข้อควรระวังที่มักพลาดกันบ่อยๆ จากประสบการณ์จริง

จากที่ผมไปแก้เคสมาหลายแห่ง สิ่งที่วิศวกรหรือ IT Outsource มักจะตกหล่นคือการไม่ได้เปลี่ยน Default Password ของ Switch และไม่ได้ปิดพอร์ต Untagged native VLAN 1 รวมถึงการทำ Subnetting ที่ใหญ่เกินความจำเป็น ผมแนะนำให้วางขนาด Subnet /24 (254 IPs) ต่อหนึ่ง VLAN ก็เพียงพอสำหรับออฟฟิศขนาดกลางแล้ว

การวางระบบ network ที่ดีไม่ใช่เรื่องของการซื้ออุปกรณ์ราคาแพงมาวาง แต่คือ การออกแบบ VLAN Isolation และนโยบายความปลอดภัยที่ถูกต้อง หากออฟฟิศของคุณยังใช้ Wi-Fi ชื่อเดียวกันทั้งตึกโดยไม่มีการแยกวง วันนี้อาจเป็นเวลาที่ต้องยกเลิกระบบเดิม ก่อนที่ข้อมูลสำคัญของบริษัทจะหลุดไปอยู่ในมือคนภายนอกครับ