ทำความรู้จัก RADIUS Server ระบบจัดการสิทธิ์ WiFi องค์กรอย่างปลอดภัย

มีอยู่วันหนึ่งช่วงเย็น พนักงานไอทีของลูกค้ารายหนึ่งโทรหาผมด้วยน้ำเสียงลนลาน เล่าว่ามีอดีตพนักงานที่เพิ่งลาออกไปเมื่อสัปดาห์ก่อน แอบมานั่งร้านกาแฟฝั่งตรงข้ามออฟฟิศ แล้วต่อสัญญาณ WiFi องค์กรเพื่อเข้าถึงไฟล์เอกสารสำคัญภายในบริษัท เหตุการณ์นี้เกิดขึ้นเพราะออฟฟิศยังใช้รหัสผ่าน WiFi แบบรหัสเดียวใช้ร่วมกันทั้งบริษัท (WPA2-Personal) พอมีคนลาออก ไอทีก็ไม่ได้เปลี่ยนรหัส WiFi ทันที เพราะเกรงว่าจะกระทบกับการใช้งานของอุปกรณ์นับร้อยเครื่องในออฟฟิศ

เหตุการณ์วันนั้นกลายเป็นจุดเปลี่ยนสำคัญที่ทำให้บริษัทดังกล่าวต้องยกเลิกระบบรหัสผ่าน WiFi แบบเดิม แล้วหันมาพึ่งพา RADIUS Server ในการยืนยันตัวตนผู้ใช้งาน WiFi องค์กรทันที ซึ่งเป็นเรื่องที่ผมอยากนำมาถ่ายทอดประสบการณ์ให้ฟังในบทความนี้ครับ

RADIUS Server คืออะไร และทำงานอย่างไรในระบบ WiFi องค์กร

ถ้าพูดให้เข้าใจง่ายที่สุด RADIUS Server (Remote Authentication Dial-In User Service) ก็เปรียบเสมือน 'เจ้าหน้าที่รักษาความปลอดภัยประจำประตู' ของระบบเครือข่าย ทำหน้าที่ตรวจสอบและอนุมัติว่า ใครมีสิทธิ์เชื่อมต่อ WiFi องค์กร และสามารถเข้าถึงข้อมูลส่วนไหนได้บ้าง โดยยึดหลักการทำงานที่เรียกว่า AAA Architecture ซึ่งประกอบด้วย 3 ส่วนสำคัญ:

• Authentication (การยืนยันตัวตน): ตรวจสอบว่าผู้ใช้คือใคร โดยการเช็กชื่อผู้ใช้งานและรหัสผ่าน (Username & Password) หรือ Certificate ประจำเครื่อง
• Authorization (การกำหนดสิทธิ์): เมื่อยืนยันตัวตนผ่านแล้ว ระบบจะกำหนดว่าผู้ใช้นั้นมีสิทธิ์ทำอะไรได้บ้าง เช่น พนักงานฝ่ายบัญชีเข้าถึง Server บัญชีได้ แต่พนักงานทั่วไปเข้าได้เฉพาะอินเทอร์เน็ต
• Accounting (การบันทึกข้อมูล): บันทึกเวลาที่เริ่มเชื่อมต่อ เวลาเลิกเชื่อมต่อ ปริมาณข้อมูลที่ใช้ และ IP Address ที่ได้รับ เพื่อใช้ตรวจสอบย้อนหลัง

ทำไมรหัสผ่าน WiFi แบบเดิม ถึงไม่ปลอดภัยสำหรับองค์กร

ในออฟฟิศหรือองค์กรส่วนใหญ่ที่ผมเคยเข้าไปดูแล มักเริ่มต้นด้วยการแปรรหัสผ่าน WiFi บนกระดาษ แล้วติดไว้ตามผนัง หรือแจกให้พนักงานทุกคนใช้รหัสเดียวกัน (Pre-Shared Key หรือ PSK) ซึ่งสร้างปัญหาความมั่นคงปลอดภัยตามมาอย่างมาก:

• ความเสี่ยงเมื่อพนักงานลาออก: อดีตพนักงานยังคงมีรหัสผ่านและแอบเชื่อมต่อ WiFi จากภายนอกอาคารได้ตลอดเวลา
• รหัสผ่านหลุดร่วงได้ง่าย: พนักงานอาจนำรหัสไปบอกเพื่อน หรือผู้มาติดต่อ (Guest) ทำให้คนนอกแอบใช้งานเครือข่ายภายในได้
• ระบุตัวตนไม่ได้เมื่อเกิดเหตุ: หากมีผู้ใช้งานแอบโหลดไฟล์ผิดกฎหมาย หรือโจมตีระบบ ไอทีจะไม่สามารถรู้ได้เลยว่าเป็นเครื่องของใคร เพราะทุกคนใช้รหัสเดียวกันหมด

3 ประโยชน์หลักเมื่อเปลี่ยนมาใช้ RADIUS Server ยืนยันตัวตน

การนำระบบ RADIUS Server มาทำงานร่วมกับ WiFi องค์กรแบบ Enterprise (802.1X) จะช่วยปิดช่องโหว่ด้านความปลอดภัยทั้งหมดทันที ด้วยข้อดีหลักดังนี้ครับ:

1. ยืนยันตัวตนแบบรายบุคคล (Individual Credentials)

พนักงานแต่ละคนจะมี Username และ Password เป็นของตัวเอง หรือล็อกอินผ่านระบบเดิมของบริษัทอย่าง Active Directory (AD) หรือ LDAP ทำให้ไม่ต้องจำรหัส WiFi รวมอีกต่อไป เมื่อพนักงานลาออก ไอทีแค่สั่ง Disable บัญชีในระบบกลาง บัญชีนั้นก็จะถูกตัดสิทธิ์จากการต่อ WiFi องค์กรทันทีทุกอุปกรณ์

2. จัดกลุ่มผู้ใช้งานและแยก VLAN อัตโนมัติ (Dynamic VLAN Assignment)

ระบบ RADIUS สามารถทำงานร่วมกับ Managed Switch และ Enterprise Access Point เพื่อสั่งงานให้ผู้ใช้แต่ละคนถูกดึงเข้า VLAN ที่ถูกต้องทันทีที่ล็อกอิน เช่น เมื่อผู้จัดการล็อกอิน จะได้ IP Address ใน VLAN ของผู้บริหารที่มีสิทธิ์เข้าถึง Server สำคัญ ส่วนพนักงานชั่วคราวจะได้ VLAN ที่ออกได้แค่อินเทอร์เน็ตเท่านั้น

3. ทำงานร่วมกับ Captive Portal และ MikroTik สำหรับ Guest WiFi

นอกจาก WiFi สำหรับพนักงานแล้ว RADIUS Server ยังใช้บริหารจัดการระบบ WiFi Hotspot หรือ Captive Portal สำหรับผู้มาติดต่อ (Guest) ได้ด้วย โดยสามารถจำกัดความเร็วอินเทอร์เน็ต กำหนดเวลาใช้งานต่อวัน หรือออกคูปองใช้งานชั่วคราวได้แบบอัตโนมัติ

โครงสร้างการเชื่อมต่อ RADIUS Server ในระบบ Enterprise Network

การจัดตั้งระบบ RADIUS Server ไม่ได้ซับซ้อนอย่างที่หลายคนกังวลครับ โครงสร้างพื้นฐานประกอบด้วย 3 ส่วนหลักทำงานประสานกัน:

• Supplicant (อุปกรณ์ผู้ใช้): โน้ตบุ๊ก สมาร์ทโฟน หรือแท็บเล็ต ที่ต้องการต่อ WiFi
• Authenticator / NAS (Network Access Server): ตัว Access Point หรือ Router เช่น MikroTik ที่ทำหน้าที่รับคำร้องขอเชื่อมต่อ แล้วส่งต่อไปถาม RADIUS Server
• Authentication Server (RADIUS Server): เซิร์ฟเวอร์หลัก (อาจเป็น FreeRADIUS, Windows Server NPS หรือ SIAM-LOGIN RADIUS) ที่ทำหน้าที่ตรวจสอบฐานข้อมูลผู้ใช้งาน แล้วส่งคำตอบกลับมาว่า 'อนุญาต' หรือ 'ปฏิเสธ'

สรุป: ถึงเวลายกระดับ WiFi องค์กรของคุณแล้วหรือยัง?

หากองค์กรของคุณมีพนักงานมากกว่า 10-20 คนขึ้นไป การพึ่งพารหัสผ่าน WiFi แบบเดิมถือเป็นความเสี่ยงที่ไม่คุ้มค่าเลยครับ การลงทุนปรับระบบมาใช้ RADIUS Server ร่วมกับ Enterprise Access Point จะช่วยเพิ่มความปลอดภัย ป้องกันข้อมูลรั่วไหล และช่วยให้ทีมไอทีบริหารจัดการระบบเครือข่ายได้อย่างมืออาชีพ หากคุณต้องการคำปรึกษาเกี่ยวกับการออกแบบและติดตั้งระบบ RADIUS หรือการบูรณาการเข้ากับ MikroTik ทีมงาน SIAM-LOGIN พร้อมให้คำแนะนำและดูแลวางระบบให้ตอบโจทย์องค์กรของคุณครับ