คู่มือการจัด VLAN และตั้งค่า MikroTik RouterBoard บริหารจัดการแยกแผนกในองค์กรอย่างมืออาชีพ

ในองค์กรขนาดกลางถึงขนาดใหญ่ การบริหารจัดการระบบเครือข่าย (Network Infrastructure) ให้มีเสถียรภาพและความปลอดภัยสูงถือเป็นหัวใจสำคัญอย่างยิ่ง หนึ่งในเทคนิคมาตรฐานที่วิศวกรเครือข่ายเลือกใช้คือการจัดทำ VLAN (Virtual Local Area Network) เพื่อแบ่งแยกวงเครือข่ายตามแผนก เช่น แผนกบัญชี, แผนกบริหาร, แผนกบุคคล และเครือข่ายสำหรับบุคคลภายนอก (Guest Wi-Fi)

บทความนี้ โดยทีมวิศวกรจาก SIAM-LOGIN จะมาเจาะลึกขั้นตอนการตั้งค่า VLAN บนอุปกรณ์ MikroTik RouterBoard ด้วยระบบปฏิบัติการ RouterOS v7 อย่างเป็นขั้นตอน เพื่อช่วยให้อุปกรณ์ของคุณทำงานได้อย่างมีประสิทธิภาพและปลอดภัยสูงสุด

ทำไมองค์กรยุคใหม่ต้องแบ่ง VLAN บน MikroTik RouterBoard?

หากปล่อยให้พนักงานทุกแผนกอยู่บนวง LAN เดียวกัน (Single Broadcast Domain) จะส่งผลเสียหลักๆ 3 ประการ ได้แก่:

• ความเสี่ยงด้านความปลอดภัย (Security Risks): พนักงานทั่วไปหรือแขกภายนอกสามารถแอบสแกนหาเครื่องคอมพิวเตอร์ในแผนกการเงินหรือฝ่ายบริหารเพื่อเข้าถึงไฟล์ลับได้
• ปัญหา Broadcast Storm: อุปกรณ์จำนวนมากในวงเดียวกันจะส่งข้อมูลกระจาย (Broadcast) หาตอบกันตลอดเวลา ทำให้ Bandwidth ของระบบลดลงอย่างเห็นได้ชัด
• การแพร่กระจายของ Ransomware: หากเครื่องคอมพิวเตอร์ในแผนกหนึ่งติดไวรัส มัลแวร์จะสามารถแพร่กระจายผ่านเครือข่ายไปยังเครื่องอื่นได้โดยง่าย

การใช้ MikroTik RouterBoard ในการจัดทำ VLAN จะช่วยจำกัดขอบเขต Traffic (Traffic Isolation) เพิ่มความปลอดภัย และจัดการ Bandwidth แยกตามแผนกได้อย่างเด็ดขาด

โครงสร้าง Network Scenario ตัวอย่างสำหรับการตั้งค่า

เพื่อให้เห็นภาพชัดเจน เราจะสมมติการตั้งค่าโดยแบ่งออกเป็น 3 VLAN หลัก ดังนี้:

• VLAN 10 (Management & HR): IP Subnet 192.168.10.0/24
• VLAN 20 (Finance & Accounting): IP Subnet 192.168.20.0/24
• VLAN 30 (Guest Network): IP Subnet 192.168.30.0/24

4 ขั้นตอนการตั้งค่า VLAN บน MikroTik RouterOS (v7)

ขั้นตอนที่ 1: การสร้าง Interface VLAN และตั้งค่า Bridge

เริ่มต้นจากการสร้าง Bridge หลักสำหรับรวมพอร์ต และสร้าง Interface VLAN แต่ละชุดโดยระบุ VLAN ID ให้ชัดเจน:

1. ไปที่เมนู Interfaces > เลือกแท็บ VLAN > กดบวก (+) เพื่อเพิ่ม VLAN ใหม่
2. ตั้งชื่อ vlan10-hr ระบุ VLAN ID = 10 และเลือก Interface เป็น bridge-main
3. ทำซ้ำขั้นตอนเดิมสำหรับ vlan20-finance (VLAN ID = 20) และ vlan30-guest (VLAN ID = 30)

ขั้นตอนที่ 2: กำหนด IP Address, IP Pool และ DHCP Server

กำหนด IP Address ให้แต่ละ VLAN เพื่อใช้เป็น Default Gateway ของแต่ละแผนก:

• ไปที่ IP > Addresses เพิ่ม 192.168.10.1/24 ให้กับ Interface vlan10-hr
• ทำแบบเดียวกันกับ vlan20-finance (192.168.20.1/24) และ vlan30-guest (192.168.30.1/24)
• ใช้คำสั่ง IP > DHCP Server > เลือก DHCP Setup เพื่อสร้างตัวแจก IP Automatic ให้กับแต่ละ VLAN ตามช่วงที่ต้องการ

ขั้นตอนที่ 3: กำหนด Bridge VLAN Filtering (Trunk Port และ Access Port)

ระบบ RouterOS v7 แนะนำให้ใช้คุณสมบัติ Bridge VLAN Filtering เพื่อประสิทธิภาพสูงสุดในการส่งผ่านข้อมูล:

1. ไปที่เมนู Bridge > แท็บ VLANs กดเพิ่ม VLAN ID 10, 20, 30
2. กำหนดให้ พอร์ตเชื่อมต่อไปยัง Managed Switch เป็น Tagged Port (Trunk Port)
3. กำหนดให้ พอร์ตต่อตรงไปยังคอมพิวเตอร์ประจำแผนกเป็น Untagged Port (Access Port) พร้อมใส่ PVID ในแท็บ Bridge Ports ให้ตรงกับ VLAN ID ของแผนกนั้นๆ
4. เปิดใช้งาน VLAN Filtering = Yes บนเมนู Bridge หลัก

ขั้นตอนที่ 4: การตั้งค่า Firewall Filter Rules ป้องกันข้อมูลรั่วไหลข้าม VLAN

โดยปกติ MikroTik จะทำการ Inter-VLAN Routing ให้อัตโนมัติ ดังนั้นเราต้องเขียนคำสั่ง Firewall เพื่อบล็อกไม่ให้ VLAN 30 (Guest) และ VLAN อื่นๆ สามารถสื่อสารข้ามหากันได้ ยกเว้นให้ทุก VLAN ออกอินเทอร์เน็ตได้เท่านั้น:

เข้าไปที่ IP > Firewall > Filter Rules แล้วสร้างกฎ (Rule):
Chain: forward | In. Interface: vlan30-guest | Out. Interface: vlan20-finance | Action: drop
คำสั่งนี้จะทำการตัดการเชื่อมต่อทันทีหากมีพยายามเข้าถึงเครื่องในแผนกการเงินจากวง Guest

ข้อควรระวังและ Best Practices จากวิศวกร SIAM-LOGIN

• Hardware Offloading (L2HW): สำหรับ MikroTik RouterBoard รุ่นใหม่ เช่น CRS Series หรือ RB5009 ควรตรวจสอบว่าสวิตช์ชิปรองรับ L2 Forwarding เพื่อลดภาระการทำงานของ CPU
• การสำรองข้อมูล (Backup): ควรทำการ Export หรือ Backup ไฟล์คอนฟิกทุกครั้งก่อนกดเปิดใช้งาน VLAN Filtering บน Bridge เพื่อป้องกันปัญหาสัญญาณตัดขาด (Lockout)
• กำหนด Management VLAN แยกเฉพาะ: ไม่ควรใช้ VLAN 1 (Default) ในการบริหารจัดการอุปกรณ์ ควรสร้าง VLAN สำหรับ Admin โดยเฉพาะเพื่อป้องกันการแฮกเกอร์โจมตี

หากองค์กรของคุณกำลังมองหาสถาปัตยกรรมเครือข่ายที่มั่นคง ปลอดภัย และต้องการทีมงานมืออาชีพในการออกแบบ ติดตั้ง วางระบบ MikroTik และ WiFi Hotspot สำหรับองค์กร ทีมวิศวกรจาก SIAM-LOGIN พร้อมให้คำปรึกษาและดูแลระบบเครือข่ายของคุณอย่างครบวงจร