คู่มือตั้งค่า Fortinet Firewall ร่วมกับ Core Switch ป้องกันภัยไซเบอร์

ตีสองครึ่งคืนวันศุกร์ เบอร์โทรศัพท์ผมดังขึ้นปลายสายเป็นหัวหน้าทีม IT องค์กรแห่งหนึ่ง เสียงเขาสั่นเครืออย่างเห็นได้ชัดว่า "ช่างครับ เซิร์ฟเวอร์เก็บไฟล์วิจัยโดน Ransomware ล็อกเรียบร้อยแล้ว แล้วตอนนี้มันกำลังวิ่งข้ามไปล็อกเครื่องฝั่งบัญชีด้วย ทำยังไงดี!" ผมต้องรีบ Remote เข้าไปช่วยสกัด Traffic ทันที คืนนั้นทำให้ผมเห็นจุดอ่อนแผลใหญ่ของหลายองค์กร นั่นคือการมี Firewall ตัวละหลายแสนแขวนไว้หน้าบ้าน แต่เครือข่ายภายในปล่อยให้ Core Switch ทำการทำ Inter-VLAN Routing แบบเปิดโล่ง ยอมให้ทุกแผนกคุยกันได้อิสระโดยไร้การตรวจจับ

เคสวันนั้นกลายเป็นโจทย์ใหญ่ที่ผมและทีม SIAM-LOGIN ต้องเข้าไปรื้อระบบ Network Infrastructure ใหม่ทั้งหมด วันนี้ผมเลยอยากมาแชร์ประสบการณ์และขั้นตอนปฏิบัติจริงในการ ตั้งค่า Fortinet Firewall ร่วมกับ Core Switch เพื่อยกระดับความปลอดภัย ไม่ให้เกิดเหตุการณ์มัลแวร์เดินสะดวกแบบเคสนั้นอีกครับ

ทำไมต้องนำ Fortinet Firewall มาคุม Traffic ร่วมกับ Core Switch?

โดยปกติแล้ว Core Switch Layer 3 มีหน้าที่ส่งผ่าน Packet ระหว่าง VLAN ด้วยความเร็วระดับ Hardware Wire-Speed ซึ่งทำได้รวดเร็วมากครับ แต่ข้อเสียคือ มันไม่มีฟังก์ชันในการสแกนไวรัส ไวรัสสายพันธุ์ใหม่ๆ หรือการทำ Deep Packet Inspection (DPI) ดังนั้น หากเครื่องคอมพิวเตอร์ใน VLAN พนักงานติดมัลแวร์ มัลแวร์ตัวนั้นจะสามารถสแกนหาช่องโหว่และแพร่กระจายไปยัง VLAN Server ได้ทันที

การเปลี่ยนแนวคิดมาใช้ FortiGate เข้ามารับหน้าที่คุม Traffic ระหว่าง VLAN (Inter-VLAN Inspection) หรือจัดการ Zone-Based Security จะช่วยให้เราใส่ Security Policies, Antivirus, และ IPS คอยดักจับมัลแวร์ข้ามแผนกได้อย่างเด็ดขาดครับ

5 ขั้นตอนการตั้งค่า Fortinet Firewall ร่วมกับ Core Switch ในปฏิบัติจริง

1. ออกแบบ Topology และวาง VLAN Architecture

ก่อนจะลงมือพิมพ์คำสั่ง ผมมักจะวางโครงสร้าง VLAN ให้ชัดเจนก่อนเสมอ โดยแบ่งแยกตามความเสี่ยง เช่น:

• VLAN 10 (Management): 192.168.10.0/24 (สำหรับอุปกรณ์ IT)
• VLAN 20 (Office/Staff): 172.16.20.0/24 (คอมพิวเตอร์พนักงาน)
• VLAN 30 (Servers): 172.16.30.0/24 ( Database / File Server)
• VLAN 40 (Guest WiFi): 192.168.40.0/24 (สำหรับบุคคลภายนอก)

2. ตั้งค่า Core Switch ทำงานเป็น 802.1Q VLAN Trunking

ในฝั่งของ Core Switch เราจะยกเลิกการทำ Layer 3 IP Routing บน VLAN ที่ต้องการความเข้มงวดสูง แล้วเปลี่ยนเป็น Layer 2 Trunk Port ยิงตรงไปยัง FortiGate ดังนี้ครับ:

• สร้าง VLAN 10, 20, 30, 40 บน Core Switch
• กำหนด Interface Uplink ที่ต่อกับ FortiGate ให้เป็น Trunk Mode
• Allowed VLAN ทุก VLAN ที่ต้องการให้ Firewall คัดกรองผ่าน Port นี้ (เช่น 802.1Q Tagging)
• สำหรับ VLAN ไหนที่ไม่เน้น Security แต่ต้องการความเร็วสูงมาก เช่น ตรีกราฟิกโอนไฟล์ขนาดใหญ่ ก็ยังคงให้ Core Switch ทำ Routing เองได้ตามเหมาะสม

3. สร้าง VLAN Sub-interface บน FortiGate (FortiOS)

เมื่อสัญญาณ VLAN ยิงมาถึง FortiGate ผ่านสาย LAN เส้นเดียว (หรือทำ Aggregate LACP) ผมจะเข้าไปตั้งค่า Sub-interface บน FortiGate เพื่อรับบทบาทเป็น Gateway ของแต่ละ VLAN ดังนี้:

• ไปที่เมนู Network > Interfaces เลือก Interface ที่เชื่อมกับ Core Switch
• กด Create New > Interface เลือก Type เป็น VLAN
• ระบุ VLAN ID ให้ตรงกับ Core Switch (เช่น VLAN 20) และกำหนด IP Address ให้เป็น Default Gateway ของ Subnet นั้น (เช่น 172.16.20.1/24)
• เปิดใช้งาน Administrative Access (HTTPS, SSH, PING) เฉพาะ VLAN Management เท่านั้น

4. เขียน Security Policies ควบคุมการสื่อสารระหว่าง Zone

จุดนี้คือหัวใจสำคัญที่สุดของการ ตั้งค่า Fortinet Firewall ร่วมกับ Core Switch ครับ บน FortiGate ผมจะจัดกลุ่ม Interface เป็น Security Zones เช่น ZONE_INTERNAL, ZONE_SERVER, และ ZONE_GUEST จากนั้นสร้าง Rule ดังนี้:

• Rule 1 (Staff to Server): อนุญาตให้ ZONE_STAFF คุยกับ ZONE_SERVER ได้เฉพาะ Port ที่จำเป็น เช่น RDP (3389), SMB (445) พร้อมเปิด Security Profiles (Antivirus, IPS, Deep Inspection)
• Rule 2 (Guest to Internal): DENY ทุกกรณี! ห้ามไม่ให้ ZONE_GUEST วิ่งเข้าหาโครงข่ายภายในอย่างเด็ดขาด
• Rule 3 (Outbound Internet): อนุญาตให้ทุก Zone ออก Internet ได้ โดยผ่าน Web Filter และ Application Control

5. การจัดการ Static Route และ Routing Table

ถ้าองค์กรของคุณยังจำเป็นต้องให้ Core Switch ทำ Routing สำหรับบาง Subnet อยู่ เราต้องกำหนด Static Route บน FortiGate ชี้กลับไปยัง IP ของ Core Switch สำหรับ Subnet เหล่านั้น และบน Core Switch ก็ต้องวาง Default Route (0.0.0.0/0) พุ่งตรงมายัง IP Interface ของ FortiGate เพื่อส่ง Traffic ทั้งหมดออก Internet หรือเข้าสู่ Firewall เพื่อสแกนครับ

ข้อควรระวังจากประสบการณ์ตรงของผม

การโยน Traffic ทั้งหมดภายในองค์กรวิ่งผ่าน FortiGate จะทำให้ CPU และ RAM ของ Firewall ทำงานหนักขึ้นอย่างเห็นได้ชัด สิ่งที่ผมอยากแนะนำคือ:

• เช็ค Session และ Firewall Throughput: ตรวจสอบว่า FortiGate รุ่นที่คุณใช้ (เช่น 60F, 80F หรือ 100F) รองรับ Threat Protection Throughput ได้เพียงพอกับปริมาณ Traffic ภายในองค์กรหรือไม่
• เปิดใช้ Hardware Offloading (NPU): ตรวจสอบเสมอว่า Policy ที่ตั้งไว้สามารถใช้ข้อดีของ ASIC / NPU ใน FortiGate เพื่อประมวลผล Packet ได้โดยไม่กินทรัพยากร CPU หลัก
• สำรองการเชื่อมต่อ (LACP Link Aggregation): สาย LAN ระหว่าง Core Switch กับ FortiGate ควรทำ LACP อย่างน้อย 2 เส้น เพื่อป้องกันปัญหา สายขาด หรือ Port เสียแล้วระบบล่มทั้งหมด

การปรับเปลี่ยนโครงสร้างระบบ Security Network ไม่ใช่เรื่องยาก แต่ต้องอาศัยความเข้าใจทั้งฝั่ง Switching และ Firewall ควบคู่กันไป หากองค์กรของคุณกำลังเจอปัญหาไฟล์ติดไวรัสระบาดข้ามแผนก หรือต้องการวางระบบ Network Infrastructure ใหม่ให้มีความปลอดภัยสูง ถูกต้องตามหลักการ ติดต่อผมและทีมงาน SIAM-LOGIN ได้เลยครับ พวกเราพร้อมเข้าไปช่วยออกแบบและติดตั้งระบบที่ตอบโจทย์ธุรกิจของคุณอย่างแท้จริง