ตั้งค่า Firewall FortiGate คู่ MikroTik เพิ่ม Cyber Security ในองค์กร

อาคารสำนักงานย่านอโศกแห่งหนึ่งเมื่อสามสัปดาห์ก่อน เจ้าของบริษัทเดินมาคุยกับผมด้วยความกังวลใจ เพราะพนักงานในฝ่ายบัญชีเผลอไปกดลิงก์ไฟล์แนบแปลกๆ ในอีเมล จนโดน Ransomware เล่นงานไฟล์เอกสารสำคัญไปบางส่วน ระบบเดิมของเขาใช้ RouterOS บน MikroTik CCR ทำหน้าที่แจก IP Address บริหาร bandwidth และตัด VLAN แยกแผนกไว้อย่างดีแล้ว แต่เนื่องจาก MikroTik ไม่ใช่ Next-Generation Firewall จึงไม่มีระบบตรวจจับไวรัสหรือกรองมัลแวร์ระดับแอปพลิเคชัน

โจทย์ของเคสนี้ไม่ใช่การถอด MikroTik ออกแล้วเอา FortiGate มาแทนทั้งหมด เพราะ MikroTik ยังทำเรื่อง Routing และบริหารจัดการ Bandwidth ได้ประหยัดและยืดหยุ่นมาก แต่คำตอบคือการตั้งค่า Firewall FortiGate ร่วมกับ MikroTik เพื่อดึงจุดเด่นของอุปกรณ์ทั้งสองแบรนด์มารวมกัน สร้างเกราะป้องกันด้าน Cyber Security ในองค์กร ที่ทั้งปลอดภัยและทำงานได้อย่างลื่นไหลครับ

ทำไมต้องใช้ FortiGate ควบคู่กับ MikroTik?

หลายคนมักถามผมว่า "ช่างครับ ทำไมไม่เลือกใช้แค่ตัวใดตัวหนึ่งไปเลย?" จากประสบการณ์วางระบบเครือข่ายของผม อุปกรณ์ทั้งสองแบรนด์นี้มีจุดแข็งที่แตกต่างกันชัดเจนมากครับ

• MikroTik: โดดเด่นด้านการทำ Routing, Bandwidth Management, การจัดการ VLAN และราคาต่อ Port ที่คุ้มค่า แต่ข้อจำกัดคือไม่มีระบบ Deep Packet Inspection สำหรับตรวจจับมัลแวร์ในระดับ Payload
• FortiGate: โดดเด่นด้าน UTM Security, IPS (Intrusion Prevention System), Antivirus, Web Filtering และ SSL Inspection สามารถบล็อกภัยคุกคามทางไซเบอร์ได้แบบ Real-time

ดังนั้น การนำ FortiGate มาทำหน้าที่เป็น Edge Perimeter Gateway คอยคัดกรอง Traffic แล้วส่งต่อให้ MikroTik จัดการ Network Gateway ภายใน จึงเป็นสถาปัตยกรรมระบบที่สมบูรณ์แบบมากสำหรับองค์กรระดับ SME ถึง Enterprise ครับ

วาง Topology การเชื่อมต่ออย่างไรให้เสถียรที่สุด

การเชื่อมต่อ FortiGate คู่กับ MikroTik ที่ผมแนะนำและใช้งานจริงบ่อยที่สุด มี 2 รูปแบบหลักๆ ดังนี้ครับ

1. รูปแบบ Gateway Mode (FortiGate เป็น WAN / MikroTik เป็น Core Switch & LAN)

รูปแบบนี้ให้ FortiGate ต่อตรงกับสายไฟเบอร์อินเทอร์เน็ต (WAN) ทำหน้าที่เป็น Border Firewall คอยรับ Public IP และทำ NAT ออกอินเทอร์เน็ต จากนั้นต่อสาย LAN เข้ากับ MikroTik ที่ทำหน้าที่เป็น Internal Router คอยแจก DHCP และจัดการ VLAN ของแต่ละแผนก

2. รูปแบบ Transparent Bridge Mode

หากองค์กรของคุณมีโครงสร้างเครือข่าย MikroTik ที่ตั้งค่าไว้อย่างสลับซับซ้อนอยู่แล้ว และไม่อยากเปลี่ยน IP Address ภายใน เราสามารถนำ FortiGate มาดักตรงกลางระหว่าง MikroTik กับ Router ของ ISP ในโหมด Transparent (Bridge) เพื่อให้ FortiGate สแกนเฉพาะมัลแวร์โดยไม่ต้องแก้ IP Gateway เดิมแม้แต่จุดเดียว

ขั้นตอนการตั้งค่า Firewall FortiGate ร่วมกับ MikroTik

ขั้นตอนที่ 1: การกำหนด VLAN บน MikroTik RouterOS

เริ่มแรกที่ MikroTik ให้เราแบ่ง Subnet และ VLAN ให้ชัดเจน เช่น VLAN 10 (Office), VLAN 20 (Guest), และ VLAN 30 (Servers) โดยสร้าง IP Pool และเปิดใช้งาน DHCP Server บน MikroTik ตามปกติ จากนั้นสร้าง Routing Table ปลายทาง Default Route (0.0.0.0/0) ชี้ IP Gateway ไปยัง IP อินเทอร์เฟซขา LAN ของ FortiGate

ขั้นตอนที่ 2: การทำ Static Routing บน FortiGate

ฝั่ง FortiGate เราต้องสร้าง Static Route ขาย้อนกลับ (Return Route) เพื่อให้ FortiGate รู้ว่าวง IP Address ของ VLAN แต่ละแผนกอยู่หลัง IP ของ MikroTik ตัวอย่างเช่น หากวง Office คือ 192.168.10.0/24 ให้ชี้ Next Hop ไปที่ IP ขา WAN ของ MikroTik เพื่อไม่ให้ Traffic ขาข้ามวงเกิดปัญหาการสื่อสารขัดข้อง

ขั้นตอนที่ 3: การสร้าง Security Policy และ Deep Packet Inspection บน FortiGate

เมื่อ Routing ทำงานหากันเจอแล้ว ให้เข้าไปที่ FortiGate แล้วสร้าง IPv4 Security Policy กำหนด Incoming Interface เป็นขา LAN และ Outgoing Interface เป็นขา WAN เปิดใช้งานคุณสมบัติ Cyber Security ในองค์กร เช่น

• Antivirus: ตรวจจับและบล็อกไฟล์แฝงมัลแวร์ที่ดาวน์โหลดผ่านเว็บ
• Web Filter: บล็อกเว็บไซต์เสี่ยงภัย คาสิโน หรือเว็บฟิชชิ่ง
• Application Control: ควบคุมการใช้งานแอปพลิเคชัน เช่น BitTorrent หรือ VPN เถื่อน
• SSL/SSH Inspection: ถอดรหัส Traffic HTTPS เพื่อตรวจหาภัยคุกคามที่แฝงมากับไฟล์การสื่อสารที่เข้ารหัส

ขั้นตอนที่ 4: กำหนด Access Control List (ACL) บน MikroTik

เพื่อเพิ่มความปลอดภัยสองชั้น ผมแนะนำให้เขียน IP Firewall Filter Rules บน MikroTik เพื่อทำ Access Control List ป้องกันไม่ให้ VLAN พนักงานทั่วไป สามารถวิ่งไปหา VLAN Server หรือ VLAN การเงินได้ หากไม่มีความจำเป็น ซึ่งจะช่วยจำกัดวงการแพร่ระบาดหากมีเครื่องลูกข่ายติดไวรัส

ข้อควรระวังเพื่อไม่ให้ระบบ Network ติดคอขวด (Bottleneck)

สิ่งหนึ่งที่ผมเจอประจำเมื่อไปแก้ระบบให้ลูกค้า คือปัญหาอินเทอร์เน็ตช้าลงหลังจากใส่ FortiGate เข้าไป ซึ่งส่วนใหญ่มักเกิดจาก 2 สาเหตุนี้ครับ

1. การทำ Double NAT: หากทั้ง FortiGate และ MikroTik เปิดใช้งาน NAT พร้อมกัน จะทำให้ Session บน Router ทำงานหนักโดยไม่จำเป็น และทำให้การใช้งานบางโปรโตคอลมีปัญหา ควรเปิด NAT เฉพาะที่ FortiGate เพียงจุดเดียวเท่านั้น ส่วน MikroTik ให้ทำหน้าที่ Routing อย่างเดียว

2. การลืมเปิด Hardware Acceleration: บน FortiGate ต้องแน่ใจว่า Traffic ถูกส่งไปประมวลผลที่ชิปประมวลผลเครือข่าย (NP6/NP7) ส่วนทางฝั่ง MikroTik หากใช้ RouterOS v7 ต้องเปิดใช้งาน Hardware Offloading บน Switch Chip เพื่อลดภาระ CPU ให้วิ่งได้เต็มสปีดตามสเปกสายไฟเบอร์

สรุปบทเรียนจากประสบการณ์ตรง

การรวมความสามารถด้าน Network Routing อันชาญฉลาดของ MikroTik เข้ากับความปลอดภัยระดับสูงของ FortiGate คือโซลูชัน Cyber Security ในองค์กร ที่ตอบโจทย์ทั้งประสิทธิภาพและความคุ้มค่างบประมาณ หากผู้อ่านท่านใดกำลังต้องการปรับปรุงระบบเครือข่ายออฟฟิศหรือโรงงานให้ปลอดภัย ทีมงาน SIAM-LOGIN ของผมพร้อมให้คำปรึกษาและเข้าสำรวจหน้างานจริงเสมอครับ