คอนฟิก Firewall FortiGate ร่วมกับ MikroTik ปลอดภัย ปรับ Bandwidth ลื่น

คืนวันศุกร์สัปดาห์ก่อน ตอนประมาณสี่ทุ่มกว่าๆ โทรศัพท์มือถือของผมดังขึ้น ปลายสายเป็นผู้จัดการฝ่ายไอทีของโรงงานอุตสาหกรรมแห่งหนึ่งในสมุทรปราการ น้ำเสียงของเขาเต็มไปด้วยความตื่นตระหนก 'ช่างครับ ระบบเครือข่ายภายในบริษัทล่มหมดเลย เครื่องพนักงานติด Ransomware แถมเน็ตก็ช้าจนโหลดอะไรไม่ได้เลย พอเข้าไปดูใน MikroTik CPU วิ่งชน 100% ตลอดเวลา คาดว่าโดนการโจมตีเข้ามาจากอินเทอร์เน็ตด้วย' เหตุการณ์คืนนั้นเป็นสิ่งย้ำเตือนผมอีกครั้งว่า การพึ่งพาอุปกรณ์เพียงชิ้นเดียวเพื่อทำหน้าที่ทุกอย่างในระบบเครือข่ายองค์กรขนาดใหญ่นั้น เป็นความเสี่ยงที่สูงมาก

พอผมเดินทางไปถึงไซต์งานและตรวจสอบทราฟฟิกอย่างละเอียด ก็พบว่า MikroTik RouterBoard ที่พวกเขาใช้งานอยู่นั้น รับภาระหนักเกินไป ทั้งทำ Routing, NAT, ควบคุม Bandwidth Management ของพนักงานกว่า 300 คน แถมยังต้องคอยกรอง Firewall Rules นับร้อยบรรทัด ผลคือเมื่อมีภัยคุกคามไซเบอร์หรือทราฟฟิกขยะยิงเข้ามา CPU ของ MikroTik ก็ทำงานหนักจนค้าง นำไปสู่แนวทางการแก้ไขที่ผมเลือกใช้และจะมาแชร์ให้ฟังในวันนี้ นั่นคือการนำ Firewall FortiGate เข้ามาทำหน้าที่เป็น Next-Generation Firewall (NGFW) อยู่ด้านหน้าสุด แล้วใช้ MikroTik รับหน้าที่บริหารจัดการ Bandwidth ภายใน ซึ่งเป็นการดึงจุดเด่นของอุปกรณ์ทั้งสองแบรนด์มาร่วมมือกันได้อย่างสมบูรณ์แบบครับ

ทำไมต้องจับคู่ FortiGate NGFW กับ MikroTik?

หลายคนอาจสงสัยว่า ทำไมเราไม่ใช้ FortiGate หรือ MikroTik เพียงอย่างเดียวไปเลย? จากประสบการณ์การวางระบบเครือข่ายของผมตลอดหลายปีที่ SIAM-LOGIN ผมพบว่าทั้งสองอุปกรณ์มีจุดแข็งที่แตกต่างกันอย่างชัดเจน ดังนี้ครับ

• FortiGate (NGFW): เด่นเรื่อง Network Security ขั้นสูง มีระบบ UTM (Unified Threat Management), Intrusion Prevention System (IPS), Web Filtering, SSL Inspection และ Antivirus ระดับ Hardware-accelerated ที่สามารถตรวจจับและบล็อกภัยคุกคามได้ตั้งแต่หน้าประตูบ้าน โดยไม่ทำให้ทราฟฟิกชะลอตัว
• MikroTik: เด่นเรื่องความยืดหยุ่นในการจัดการทราฟฟิกภายใน เช่น การทำ MikroTik Queue Tree, PCQ (Per Connection Queue) เพื่อเกลี่ย Bandwidth Management ให้พนักงานทุกคนได้ใช้งานอินเทอร์เน็ตอย่างเท่าเทียม รวมถึงความสามารถด้าน RouterOS ที่ปรับแต่งได้ละเอียดในราคาที่คุ้มค่า

เมื่อเราจับคู่กัน โดยให้ FortiGate อยู่ฝั่ง WAN คอยกรองมัลแวร์และการโจมตี แล้วส่งทราฟฟิกที่สะอาด (Clean Traffic) มาให้ MikroTik บริหารจัดการ Bandwidth และจัดสรร VLAN Segmentation ภายใน ระบบเครือข่ายของคุณจะทั้งปลอดภัยสูงและทำงานได้อย่างลื่นไหลไร้รอยต่อครับ

ไดอะแกรมและการออกแบบ Architecture การเชื่อมต่อ

การเชื่อมต่อที่ผมแนะนำและนำไปใช้กับลูกค้า SIAM-LOGIN เป็นประจำ คือการจัดวางแบบ Layered Security ดังนี้ครับ

Internet (ISP) → FortiGate (Boundary NGFW) → Inter-Routing Subnet → MikroTik Router → Core Switch & Access Points

ในโครงสร้างนี้ เราจะสร้างวงเครือข่ายเชื่อมต่อระหว่าง FortiGate กับ MikroTik (เรียกว่า Transit VLAN หรือ Inter-routing Subnet เช่น 192.168.254.0/30) โดยที่ไม่ต้องทำ NAT ซ้ำซ้อนสองรอบ (Double NAT) เพื่อลด Latency และป้องกันปัญหาโปรโตคอลบางชนิดใช้งานไม่ได้

ขั้นตอนการคอนฟิก Firewall FortiGate ร่วมกับ MikroTik

มาดูขั้นตอนการตั้งค่าจริงกันครับ ซึ่งผมสรุปวิธีปฏิบัติงานที่ใช้จริงในภาคสนามมาให้ทำตามได้ง่ายๆ ดังนี้

ขั้นตอนที่ 1: การคอนฟิก FortiGate (Edge Firewall)

ในฝั่งของ FortiGate เราจะกำหนดให้ทำหน้าที่รับ Internet จาก ISP และกระจาย Static Route ไปยัง MikroTik รวมถึงเปิดใช้งาน Security Profiles

• 1. Config WAN & Inter-routing Port: ตั้งค่า Interface WAN รับ IP จาก ISP และตั้งค่า Port Internal (เช่น port2) เป็น IP 192.168.254.1/30 ชี้ไปยัง MikroTik
• 2. Create Static Route: เพิ่ม Static Route ชี้ Network วงภายในทั้งหมด (เช่น 10.0.0.0/16 หรือ 192.168.0.0/16) โดยใส่ Gateway เป็น IP ของ MikroTik (192.168.254.2)
• 3. Configure Security Policy & UTM: สร้าง Policy อนุญาตให้ทราฟฟิกจาก Inter-routing Port ออกไปยัง WAN โดยเปิดใช้งาน UTM Security Policy เช่น IPS Anti-DDoS, Antivirus, และ Web Filtering เพื่อบล็อกเว็บเสี่ยงภัย

ขั้นตอนที่ 2: การคอนฟิก MikroTik (Internal Router & Bandwidth Controller)

ในฝั่ง MikroTik เราจะปิดการทำ NAT ฝั่ง WAN (เนื่องจากทำที่ FortiGate แล้ว) และเน้นไปที่การควบคุม Bandwidth Management

• 1. Assign IP & Default Route: กำหนด IP interface ฝั่งจ่ายเข้า FortiGate เป็น 192.168.254.2/30 และสร้าง Default Route (0.0.0.0/0) ชี้ Gateway ไปยัง 192.168.254.1
• 2. Turn off NAT / Masquerade: ไม่ต้องใส่ Rule Masquerade ใน IP Firewall NAT เพื่อปล่อยให้ FortiGate เห็น IP ต้นทางที่แท้จริงของ Client ทำให้การเก็บ Log และวิเคราะห์ Security Profile ทำได้แม่นยำ
• 3. Configure Queue Tree & PCQ: สร้าง Mangle Mark Packet เพื่อจำแนกประเภททราฟฟิก (เช่น Web Browsing, Video Streaming, Work Files) จากนั้นนำไปใส่ใน MikroTik Queue Tree ใช้ อัลกอริทึม PCQ เพื่อเฉลี่ย Bandwidth ให้ผู้ใช้งานทุกคนโดยอัตโนมัติ

ผลลัพธ์หลังการปรับปรุงระบบจริง

หลังจากที่ผมเปลี่ยนมาใช้สถาปัตยกรรมแบบไฮบริดนี้ให้กับลูกค้ารายดังกล่าว CPU ของ MikroTik ที่เคยพุ่งสูง 100% ลดลงเหลือเพียงไม่ถึง 20% ทันที เพราะไม่ต้องรับภาระกรองมัลแวร์หรือต่อสู้กับการยิงโดสอีกต่อไป ในขณะที่ FortiGate ก็ทำงานตรวจจับการโจมตีได้อย่างเต็มประสิทธิภาพ บล็อกไวรัสและเว็บไซต์อันตรายได้ก่อนจะเข้ามาถึงเครือข่ายภายใน และที่สำคัญที่สุด พนักงานกลับมาทำงานและใช้งานอินเทอร์เน็ตได้อย่างรวดเร็ว ไร้ปัญหาเน็ตค้างอีกเลยครับ

บทสรุปจากวิศวกร SIAM-LOGIN

การ คอนฟิก Firewall FortiGate ร่วมกับ MikroTik ไม่ใช่เรื่องของการเลือกใส่อุปกรณ์เพิ่มขึ้นเพื่อความซ้ำซ้อน แต่เป็นการจัดสรรหน้าที่ให้อุปกรณ์ทำงานในจุดที่เก่งที่สุด FortiGate คอยปกป้องประตูบ้าน ส่วน MikroTik คอยจัดระเบียบคนในบ้าน หากองค์กรของคุณกำลังเจอปัญหาเน็ตช้า โดนไวรัสรบกวน หรือ MikroTik ค้างบ่อย ลองนำแนวทางนี้ไปปรับใช้ดูครับ