คู่มือวางระบบ Network และ VLAN โรงงานอุตสาหกรรม 4.0

เสียงโทรศัพท์ผมดังขึ้นตอนตีสองครึ่ง ปลายสายเป็นผู้จัดการฝ่ายไอทีของโรงงานผลิตชิ้นส่วนยานยนต์แห่งหนึ่งในอยุธยา เสียงเขาตื่นตระหนกจนผมสัมผัสได้ 'คุณครับ ไลน์ผลิตหุ่นยนต์จอดนิ่งหมดเลย PLC สื่อสารกับ Server ไม่ได้ แขนกลหยุดทำงานทั้งสาย ค่าเสียหายนาทีละเป็นแสน!' พอผมรีบ Remote เข้าไปเช็คระบบ ก็พบอาการคลาสสิกที่โรงงานอุตสาหกรรมหลายแห่งมักมองข้าม นั่นคือ Packet วิ่งชนกันเต็มสวิตช์จน Broadcast Storm ถล่มเน็ตเวิร์กทั้งโรงงานร่วงทลาย เพียงเพราะคอมพิวเตอร์ออฟฟิศเครื่องหนึ่งติดไวรัส แล้วส่งข้อมูลขยะออกมาถล่มเครือข่ายที่ต่อกองรวมกันอยู่ใน Flat Network เดียวกันหมด

เหตุการณ์คืนนั้นทำให้โรงงานต้องสูญเสียมูลค่าการผลิตไปหลายแสนบาท และเป็นจุดเริ่มต้นที่ผมต้องเข้าไปสังคายนาระบบ Network Infrastructure ให้โรงงานแห่งนั้นใหม่ทั้งหมด บทความนี้ผมจึงตั้งใจสรุปประสบการณ์ตรงจากการวางระบบเน็ตเวิร์กโรงงานอุตสาหกรรมตลอดหลายปีที่ผ่านมา เพื่อให้ผู้บริหารและทีม IT นำไปปรับใช้ได้จริงครับ

ทำไมโรงงานยุค 4.0 ถึงล่มง่าย ถ้าไม่ทำ VLAN Segmentation?

ในยุคที่โรงงานหมุนด้วยเทคโนโลยี IoT, แขนกลอัตโนมัติ และระบบ SCADA สิ่งที่น่ากลัวที่สุดคือการเชื่อมต่อทุกอย่างไว้ในวง LAN เดียวกัน (Flat Network) เพราะเมื่อไหร่ก็ตามที่มีอุปกรณ์ชำรุด หรือมีพนักงานนำโน้ตบุ๊กติดไวรัสมาเสียบสายแลน ผลกระทบจะกระจายไปทั่วทั้งองค์กรทันที

1. วงเน็ตเวิร์กล่มจาก Broadcast Storm

อุปกรณ์ในสายการผลิต เช่น PLC หรือ Controller ต่างๆ มักมีการส่งข้อมูลตรวจสอบสถานะตลอดเวลา หากเกิด Loop ในระบบ หรือมีคอมพิวเตอร์ส่ง Traffic ขยะจำนวนมาก อุปกรณ์เหล่านี้จะประมวลผลไม่ทันจนเกิดอาการค้าง ส่งผลให้สายการผลิตหยุดทำงานทันที

2. ความเสี่ยงด้าน Cyber Security เมื่อ OT รวมกับ IT

ระบบเทคโนโลยีฝั่งการผลิต (Operational Technology - OT) มักเน้นความเสถียรมากกว่าเรื่อง Security หลายเครื่องยังใช้ระบบปฏิบัติการรุ่นเก่าที่ไม่มีการอัปเดตแพตช์ หากเราไม่ทำ OT / IT Network Separation ปล่อยให้เครื่องออฟฟิศฝั่ง IT คุยกับฝั่ง OT ได้โดยตรง มัลแวร์หรือ Ransomware ก็สามารถแพร่กระจายเข้าไปล็อกเครื่องจักรในโรงงานได้อย่างง่ายดาย

พิมพ์เขียวการวางระบบ Network Infrastructure แบบฉบับ SIAM-LOGIN

การออกแบบระบบเครือข่ายโรงงานที่ดี ต้องเน้นเรื่องความปลอดภัย ความเสถียร และรองรับการขยายตัวในอนาคต โดยผมแบ่งขั้นตอนสำคัญออกเป็น 3 ส่วนหลัก ดังนี้ครับ

ขั้นที่ 1: แบ่งวง Network Segment ตามฟังก์ชันงาน (VLAN Design)

ผมจะออกแบบและแบ่ง VLAN ออกตามประเภทของอุปกรณ์และระดับความสำคัญ เพื่อแยก Traffic ออกจากกันอย่างเด็ดขาด ดังนี้ครับ

• VLAN 10 (Management Network): สำหรับอุปกรณ์เน็ตเวิร์กหลัก เช่น Router, Core Switch, Access Point และ Firewall อนุญาตให้เฉพาะทีม IT เข้าถึงได้เท่านั้น
• VLAN 20 (OT / Production Line): สำหรับ PLC, แขนกลหุ่นยนต์, CNC Machine และระบบ SCADA วงนี้จะถูกบล็อกอินเทอร์เน็ตสมบูรณ์แบบ และสื่อสารได้เฉพาะ Server ที่จำเป็นเท่านั้น
• VLAN 30 (Office / IT Staff): สำหรับคอมพิวเตอร์และโน้ตบุ๊กของพนักงานออฟฟิศ ฝ่ายบัญชี ฝ่ายขาย
• VLAN 40 (CCTV & Security): สำหรับกล้องวงจรปิดและระบบ Access Control เพื่อไม่ให้ไฟล์วิดีโอที่มี Bandwidth สูงไปกวนการทำงานของระบบอื่น
• VLAN 50 (IoT & Sensors): สำหรับอุปกรณ์ Smart Sensor และระบบตรวจวัดค่าต่าง ๆ ในโรงงาน
• VLAN 60 (Guest WiFi): สำหรับผู้มาติดต่อ ซึ่งจะสามารถใช้อินเทอร์เน็ตได้อย่างเดียว และถูกตัดขาดออกจากระบบภายในโรงงาน 100%

ขั้นที่ 2: ควบคุมการเข้าถึงด้วย Firewall Rule และ ACL

การสร้าง VLAN จะไม่มีประโยชน์เลยหากเราไม่กำหนดนโยบายความปลอดภัย ผมมักใช้ MikroTik Router หรือ Enterprise Firewall ในการตั้งค่า Access Control List (ACL) เพื่อควบคุมว่า VLAN ไหน คุยกับ VLAN ไหนได้บ้าง ตัวอย่างเช่น กำหนดให้ VLAN 30 (Office) สามารถดึงข้อมูล Report จาก VLAN 20 (Production) ได้เฉพาะพอร์ตที่กำหนดเท่านั้น แต่ฝั่ง Production ห้ามริเริ่มการเชื่อมต่อมายังฝั่ง Office เพื่อป้องกันไวรัสย้อนศร

ขั้นที่ 3: จัดลำดับความสำคัญด้วย Quality of Service (QoS)

ในโรงงานอุตสาหกรรม ข้อมูลจากการผลิต (OT Traffic) คือสิ่งสำคัญที่สุด ผมจะตั้งค่า QoS ให้ Packet ของระบบ SCADA และ PLC มีความสำคัญสูงสุด (High Priority) ส่วนการเปิด YouTube หรือการโหลดไฟล์ของพนักงานฝั่งออฟฟิศจะถูกจัดให้อยู่ในความสำคัญต่ำสุด หากเน็ตเวิร์กเกิดความคั่งค้าง ระบบจะตัด Traffic ฝั่งออฟฟิศก่อน เพื่อรักษาการทำงานของสายการผลิตไว้

การเลือกอุปกรณ์ Hardware ให้เหมาะกับสภาพแวดล้อมโรงงาน

อีกจุดหนึ่งที่หลายคนพลาด คือการนำอุปกรณ์สำหรับออฟฟิศทั่วไปไปติดตั้งในพื้นที่การผลิต ในโรงงานมักมีความร้อนสูง ฝุ่นละออง หรือความชื้น และแรงสั่นสะเทือนจากเครื่องจักร ผมแนะนำให้เลือกใช้ Industrial Switch สำหรับฝั่ง OT เพราะอุปกรณ์ประเภทนี้ออกแบบมาให้ทนอุณหภูมิสูง ไม่มีแฟนระบายความร้อนที่สะสมฝุ่น และมีระบบ Redundant Power Supply เพื่อป้องกันไฟตกดับ

สรุป: ยกระดับโรงงานสู่อยุค 4.0 อย่างมั่นใจ

การลงทุนวางระบบ VLAN Segmentation และจัดโครงสร้าง Network Infrastructure ใหม่ อาจดูมีค่าใช้จ่ายในตอนแรก แต่เมื่อเทียบกับมูลค่าความเสียหายยามสายการผลิตหยุดชะงักเพียงไม่กี่นาที ถือเป็นการลงทุนที่คุ้มค่ามากครับ หากโรงงานของคุณกำลังเจอปัญหาเน็ตหลุดบ่อย ระบบผลิตค้าง หรือต้องการปรับปรุงโครงสร้างเครือข่ายให้ปลอดภัยตามมาตรฐาน SIAM-LOGIN พร้อมให้คำปรึกษาและออกแบบระบบโดยทีมวิศวกรมืออาชีพครับ