คู่มือวางระบบ Network Infrastructure และทำ VLAN โรงงาน 4.0

ตีสองคืนวันเสาร์ สมาร์ทโฟนข้างเตียงผมสั่นครืดๆ เสียงปลายสายจากผู้จัดการฝ่ายผลิตโรงงานผลิตชิ้นส่วนยานยนต์แถวนวนครฟังดูร้อนรนมาก 'ช่างครับ เครื่องแขนกลชะงักทั้งสายพานผลิต ระบบ SCADA มองไม่เห็น PLC สักเครื่อง ด่วนที่สุดเลยครับ!' พอผมซิ่งรถไปถึงโรงงานและเสียบสาย Console เข้า Managed Switch สิ่งที่เจอคือ Broadcast Storm มหาศาลล้น Network Interface จน Packet ร่วงกราว สาเหตุเกิดจากสายแลนของกล้อง CCTV ในคลังสินค้าโดนน้ำรั่วใส่ แล้วช่างฝั่งโน้นดันเอาสวิตช์โง่ๆ ตัวละไม่กี่ร้อยไปเสียบวน Loop ไว้โดยไม่มีการแบ่ง Subnet ใดๆ ทั้งสิ้น

เหตุการณ์คืนนั้นทำให้โรงงานสูญเสียมูลค่าการผลิตไปหลายแสนบาทเพียงเพราะระบบเครือข่ายทั้งโรงงานเชื่อมกันเป็นวงเดียว หรือที่เราเรียกว่า Flat Network ซึ่งเป็นจุดอ่อนร้ายแรงที่สุดของโรงงานยุคเก่าที่พยายามก้าวสู่ โรงงานอุตสาหกรรมยุค 4.0 ครับ

ทำไมโรงงานยุค 4.0 ถึงล้มเหลวถ้ายังใช้ Network วงเดียว (Flat Network)?

หลายโรงงานลงทุนซื้อเครื่องจักร PLC ราคาแพง ติดตั้งเซนเซอร์ IoT และระบบ SCADA สุดหรู แต่กลับตกหลุมพะวาเรื่องการ วางระบบ Network Infrastructure โรงงาน โดยปล่อยให้คอมพิวเตอร์ออฟฟิศ กล้องวงจรปิด Wi-Fi พนักงาน และหุ่นยนต์ไลน์ผลิต วิ่งอยู่บนวง IP Address เดียวกัน (เช่น 192.168.1.0/24)

ผลลัพธ์ที่ตามมาคือ ความเสี่ยงระดับพังทลาย 3 ข้อหลักๆ:

• Broadcast Storm พังทั้งระบบ: เมื่ออุปกรณ์ชำรุด หรือเกิด Loop การส่งข้อมูลขยะจะกระจายไปถึงทุกอุปกรณ์ในเครือข่าย ส่งผลให้ PLC หรือ Controller หยุดการทำงานทันที
• ภัยคุกคาม Ransomware ลุกลาม: ถ้าพนักงานออฟฟิศเผลอเปิดอีเมลติดไวรัส มัลแวร์จะวิ่งข้ามจากวง IT ไปล็อกไฟล์ในเซิร์ฟเวอร์ควบคุมการผลิต (OT Network) ได้อย่างง่ายดาย
• ไร้การจัดลำดับความสำคัญ (QoS): ข้อมูลการบันทึกวิดีโอ CCTV ความคมชัดสูง อาจแย่ง Bandwidth ข้อมูลการสั่งงานเครื่องจักร ทำให้การตอบสนองของหุ่นยนต์เกิด Latency หรือ Delay

การออกแบบ Network Topology และ VLAN Segmentation สำหรับโรงงานอุตสาหกรรม

ในการแก้ไขและ ทำ VLAN โรงงาน ให้มีเสถียรภาพสูงสุด ทีมงาน SIAM-LOGIN ของผมจะแบ่งกลุ่มเครือข่ายด้วยหลักการ Security Zone และการแยกวงตามฟังก์ชันการทำงาน (VLAN Segmentation) โดยใช้มาตรฐาน 802.1Q Trunking เป็นหลักครับ

1. ฝ่ายบริหารและ IT (Office Network - VLAN 10)

ใช้สำหรับคอมพิวเตอร์พนักงาน ฝ่ายบัญชี ฝ่าย HR และเซิร์ฟเวอร์ออฟฟิศ วงนี้จะสามารถออกอินเทอร์เน็ตได้เต็มที่ และมีระบบ Antivirus ควบคุมเข้มงวด

2. สายการผลิตและ OT (Production & SCADA Network - VLAN 20)

วงนี้คือหัวใจสำคัญครับ รวมอุปกรณ์ PLC, HMI, แขนกลอุตสาหกรรม และ SCADA Server ต้องไม่อนุญาตให้ออกอินเทอร์เน็ตโดยตรงเด็ดขาด และถูกกั้นด้วย Firewall กั้นวงเครือข่าย อย่างเข้มงวด อนุญาตเฉพาะพอร์ตที่จำเป็นในการรับส่งข้อมูลเท่านั้น

3. ระบบกล้องวงจรปิด (CCTV Network - VLAN 30)

แยกการส่งข้อมูลวิดีโอจากกล้อง NVR และ IP Camera ออกมาเฉพาะ เพื่อป้องกันไม่ให้ข้อมูลวิดีโอขนาดใหญ่ไปบดบัง Traffic การผลิต และป้องกันไม่ให้ผู้ไม่หวังดีแฮกกล้องเพื่อเข้าสู่ระบบหลัก

4. ผู้มาติดต่อและผู้รับเหมา (Guest & Vendor WiFi Network - VLAN 40)

สำหรับ Vendor ที่เข้ามา Maintenance เครื่องจักร หรือผู้มาติดต่อ ให้ออกอินเทอร์เน็ตได้อย่างเดียว และติด Isolation ป้องกันไม่ให้แสกนเจออุปกรณ์อื่นในโรงงาน

ขั้นตอนการวางระบบ Managed Switch และกำหนด Firewall Rules สไตล์ SIAM-LOGIN

การ วางระบบ Network Infrastructure โรงงาน ให้คงทนถาวร ไม่ใช่แค่การเสียบสายแล้วจบ แต่ต้องวางโครงสร้างฮาร์ดแวร์และการกำหนดค่า (Configuration) อย่างเป็นระบบครับ

1. เดินสาย Fiber Optic Backbone ระหว่างตู้ RACK

ภายในอาคารโรงงานที่มีคลื่นแม่เหล็กไฟฟ้าแทรกซ้อนสูงจากมอเตอร์และเครื่องจักร การเชื่อมต่อระหว่าง Core Switch ไปยัง Distribution Switch ตามจุดต่างๆ ควรใช้สาย Fiber Optic Multi-mode หรือ Single-mode เท่านั้น เพื่อป้องกันสัญญาณรบกวนและรองรับ Bandwidth ระดับ 10Gbps

2. กำหนด 802.1Q VLAN Trunking บน Core Router / Switch

กำหนดการรับส่งข้อมูลผ่านโปรโตคอล 802.1Q บน Managed Switch โดยตั้งค่า Native VLAN ให้ปลอดภัย และส่งเฉพาะ VLAN Tag ที่อนุญาตผ่านไปยัง Access Switch แต่ละตู้

3. เขียน Access Control List (ACL) และ Firewall Rules

หลักการที่ผมเน้นย้ำเสมอคือ Zero Trust Policy โดยกำหนดให้ Firewall ปิดการสื่อสารระหว่าง VLAN 10 (Office) และ VLAN 20 (OT) ทั้งหมด ยกเว้นเครื่องเซิร์ฟเวอร์ ERP ที่ต้องดึงข้อมูลสต็อกสินค้า ซึ่งต้องระบุ IP และ Port แบบเฉพาะเจาะจงเท่านั้น

ข้อผิดพลาดยอดฮิตในการวางระบบเครือข่ายโรงงานที่ผมเจอบ่อยที่สุด

จากประสบการณ์ตรงที่ผมเข้าไปรีโนเวทระบบ Network ให้โรงงานอุตสาหกรรมหลายสิบแห่ง ข้อผิดพลาดส่วนใหญ่ไม่ได้เกิดจากอุปกรณ์ราคาถูก แต่เกิดจากการขาดวางแผน Network Topology โรงงาน ครับ

• ใช้ Unmanaged Switch ต่ออนุกรมกันไปเรื่อยๆ (Daisy Chain): คาเกะกะ ค้นหาจุดเสียยาก และก่อให้เกิด Latency สูง
• ไม่มีระบบสำรอง Link (Redundancy): เมื่อสาย Fiber ขาดเส้นเดียว สายการผลิตดับทั้งโรงงาน ควรทำ STP/RSTP หรือ LACP เพื่อทำ Redundant Link ไว้เสมอ
• ไม่ทำ Labeling และ Tagging สายแลน: เวลาเกิดปัญหา ตู้ RACK กลายเป็น 'รังนก' ที่ไม่มีใครกล้าแตะ ต้องเสียเวลาไล่สายทีละเส้น

หากคุณกำลังวางแผนปรับปรุงระบบเครือข่ายในโรงงานอุตสาหกรรม หรือต้องการยกระดับความปลอดภัยเครือข่ายให้รองรับมาตรฐาน ISO 27001 และนโยบาย Cybersecurity การเริ่มต้นด้วยโครงสร้างพื้นฐานที่ดีและการทำ VLAN Segmentation คือการลงทุนที่คุ้มค่าที่สุดเพื่อป้องกันปัญหาสายการผลิตหยุดชะงัก (Downtime) ในอนาคตครับ