ความสำคัญของ Radius Server ต่อความปลอดภัยเครือข่ายองค์กร

เมื่อเดือนก่อน มีลูกค้าองค์กรระดับ SME แห่งหนึ่งโทรหาผมตอนห้าทุ่มด้วยน้ำเสียงตื่นตระหนก เพราะหัวหน้าทีมขายที่ถูกให้ออกไปตอนเย็น แอบนั่งที่ลานจอดรถหน้าออฟฟิศ แล้วใช้ Wi-Fi บริษัทเชื่อมต่อเข้า NAS เพื่อดาวน์โหลดรายชื่อลูกค้าทั้งหมดออกไป พอทีม IT รู้ตัว จะเปลี่ยน Wi-Fi Password ก็ทำไม่ได้ทันที เพราะต้องกระทบพนักงานอีกกว่า 80 ชีวิต และอุปกรณ์ IoT, Printer ทุกตัวในออฟฟิศที่จะหลุดจากระบบพร้อมกัน

เหตุการณ์แบบนี้ไม่ใช่เรื่องใหม่เลยครับ ผมเจอออฟฟิศจำนวนมากที่ลงทุนสั่งซื้อ Firewall ราคาสี่ห้าแสน ปู Access Point Enterprise สเปกเทพทั่วอาคาร แต่กลับตกหลุมพรางด้วยการใช้ Password เดียวกันทั้งออฟฟิศ (WPA2/WPA3 Personal) ซึ่งในทาง Network Security เราเรียกว่า Pre-Shared Key หรือ PSK

ทำไมระบบ Pre-Shared Key (PSK) ถึงเป็นระเบิดเวลาของ Network องค์กร

ปัญหาของการใช้ PSK ในระดับ enterprise คือเรื่องใหญ่ที่หลายองค์กรชอบมองข้ามครับ ลองคิดตามผมดูว่า หากองค์กรของคุณยังแจกรหัส Wi-Fi เดียวกันทั้งบริษัท คุณกำลังเผชิญกับความเสี่ยงเหล่านี้อยู่หรือไม่:

• ไม่สามารถระบุตัวตนรายบุคคลได้ (Lack of Accountability): เมื่อมี Log แจ้งเตือนว่ามีเครื่องแปลกปลอมพยายาม Access เข้า Server คุณจะรู้แค่ว่าไอพีนี้มาจาก Wi-Fi แต่ไม่รู้เลยว่า "ใคร" เป็นคนทำ
• การยกเลิกสิทธิ์ทำได้ยากลำบาก: เวลาพนักงานลาออก คุณต้องตามเปลี่ยนรหัส Wi-Fi ในเครื่องพนักงานทุกคน รวมถึง Smart TV, Printer, CCTV ซึ่งในความเป็นจริง ไม่มีใครเปลี่ยนรหัสทุกครั้งที่มีคนลาออกแน่นอน
• เสี่ยงต่อการถูกดักฟังข้อมูล (Man-in-the-Middle): หากผู้ใช้คนหนึ่งในเครือข่ายโดน Malware หรือมีเจตนาชั่วร้าย เขาสามารถดักจับ Traffic ของเพื่อนร่วมงานใน SSID เดียวกันได้ง่ายมาก

Radius Server คืออะไร? ทำหน้าที่อะไรในระบบ Network องค์กร

Radius Server (Remote Authentication Dial-In User Service) พูดให้เข้าใจง่ายที่สุด มันคือ "ยามเฝ้าประตูส่วนกลาง" ของระบบเครือข่ายครับ แทนที่ Access Point, Switch หรือ VPN Router จะทำหน้าที่ตรวจสอบรหัสผ่านด้วยตัวเอง พวกมันจะส่งคำขอตรวจสอบตัวตนไปยัง Radius Server เพียงจุดเดียว

Radius Server ทำงานตามสถาปัตยกรรม AAA Framework ซึ่งประกอบด้วย 3 ส่วนสำคัญ:

• Authentication (ยืนยันว่าคุณคือใคร): ตรวจสอบ Username และ Password หรือ Digital Certificate ว่าถูกต้องหรือไม่ โดยทำงานร่วมกับ 802.1X และโปรโตคอลความปลอดภัยอย่าง EAP-TLS หรือ PEAP
• Authorization (กำหนดว่าคุณมีสิทธิ์ทำอะไร): เมื่อยืนยันตัวตนผ่าน Radius จะส่งค่า VLAN ID หรือ Access Control List (ACL) กลับมาให้อุปกรณ์ Network เพื่อจัดพนักงานคนนั้นให้อยู่ใน Zone ที่ถูกต้อง เช่น พนักงาน IT ไป VLAN Management, พนักงานทั่วไปไป VLAN Office, แขกไป VLAN Guest
• Accounting (บันทึกว่าคุณใช้งานอะไรไปบ้าง): บันทึกเวลาเริ่มเชื่อมต่อ เวลาเลิกใช้งาน ปริมาณการรับส่งข้อมูล และ IP Address ที่ได้รับลงใน Centralized Log เพื่อใช้ทำ Log Audit ตามกฎหมาย พ.ร.บ.คอมพิวเตอร์

ข้อดีหลักของการนำ Radius Server มาปรับใช้ในโครงสร้างพื้นฐาน

1. ตัดสิทธิ์พนักงานลาออกได้ทันทีเพียงคลิกเดียว

เมื่อคุณเชื่อมต่อ Radius Server เข้ากับ Directory Service เช่น Active Directory (AD), OpenLDAP หรือ Google Workspace เมื่อพนักงานลาออก ฝ่าย HR เพียงแค่ Disable Account ใน AD สิทธิ์การเข้าถึง Wi-Fi, VPN และ Port LAN บน Enterprise Switch ของพนักงานคนนั้นจะถูกตัดทิ้งทันที โดยไม่ต้องไปยุ่งกับรหัส Wi-Fi บนเครื่องของพนักงานคนอื่นเลย

2. ป้องกันผู้บุกรุกด้วยเทคโนโลยี Dynamic VLAN Assignment

ด้วยโปรโตคอล 802.1X เมื่อผู้ใช้ต่อสาย LAN เข้ากับ Network Switch หรือเกาะ Wi-Fi ตัว Radius Server จะส่งค่า Dynamic VLAN ให้กับ Port หรือ SSID นั้นๆ ทันที หากเป็นเครื่องขององค์กรจะถูกดึงเข้า VLAN พนักงาน แต่หากแอบนำ Notebook ส่วนตัวมาเสียบ จะโดนเด้งไป VLAN แยกต่างหากที่ไม่สามารถมองเห็น Server ในองค์กรได้เลย

3. เสริมความแข็งแกร่งด้วย Certificate-Based Authentication (EAP-TLS)

สำหรับองค์กรที่ต้องการความปลอดภัยระดับสูงสุด ผมมักจะแนะนำให้ทำ Certificate-Based Authentication ร่วมกับ Radius Server ครับ อุปกรณ์ที่จะเกาะ Wi-Fi หรือ LAN ได้ ต้องมี Digital Certificate ที่ออกโดยองค์กรติดตั้งอยู่บนเครื่องเท่านั้น ต่อให้โดนขโมย Password ไป ก็ไม่สามารถเข้าใช้งาน Network จากเครื่องอื่นได้เลย

สถาปัตยกรรม Radius Server ที่ SIAM-LOGIN แนะนำสำหรับ SME ถึง Enterprise

ในการออกแบบ Enterprise Network Security ผมจะแบ่งโซลูชันการปรับใช้ Radius Server ตามขนาดและงบประมาณดังนี้ครับ:

• องค์กรขนาดเล็ก (SME 20-50 คน): ปรับใช้ FreeRADIUS บน Linux Server หรือใช้ Radius Package บน MikroTik RouterBOARD ทำงานร่วมกับ User Manager สำหรับจัดการ Wi-Fi Hotspot และ 802.1X เบื้องต้น
• องค์กรขนาดกลางถึงใหญ่ (50 คนขึ้นไป): ใช้ Microsoft Network Policy Server (NPS) ที่มีอยู่ใน Windows Server อยู่แล้ว เชื่อมต่อโดยตรงกับ Active Directory Domain Services (AD DS) เพื่อดึง Database พนักงานมาใช้ได้ทันที
• องค์กรแบบ Multi-Site / Remote Work: ใช้ Cloud Radius เชื่อมต่อกับ Cloud Identity (เช่น Entra ID / Microsoft 365, Google Workspace) ร่วมกับ WireGuard หรือ IPsec VPN เพื่อให้พนักงานทำงานจากที่ไหนก็ปลอดภัย

สรุป: Radius Server ไม่ใช่เรื่องไกลตัว แต่คือรากฐานความปลอดภัยที่ไม่ควรมองข้าม

จากประสบการณ์ตรงของผมในการวางระบบ Network Security ให้กับหลายร้อยองค์กร การลงทุนกับ Radius Server ถือเป็นการลงทุนที่คุ้มค่าที่สุดอย่างหนึ่ง เพราะใช้ทรัพยากรฮาร์ดแวร์น้อยมาก แต่ช่วยยกระดับความปลอดภัยของ Network Infrastructure ได้มหาศาล เปลี่ยนจากเครือข่ายที่ใครๆ ก็เข้าถึงได้ มาเป็นเครือข่ายที่ควบคุมได้แบบ 100%

หากองค์กรของคุณกำลังประสบปัญหาเรื่องการจัดการ Wi-Fi รั่วไหล ต้องการวางระบบ 802.1X หรืออยากรวมศูนย์ระบบยืนยันตัวตน ทีมวิศวกรของ SIAM-LOGIN พร้อมให้คำปรึกษาและออกแบบระบบให้ตรงกับความต้องการและงบประมาณของคุณครับ