ระบบ Radius Server คืออะไร ทำไมองค์กรยุคนี้ต้องเลิกแจกรหัส WiFi

บ่ายวันจันทร์วันหนึ่ง HR วิ่งหน้าตื่นมาหาผมที่ห้องเซิร์ฟเวอร์ด้วยความตกใจ บอกว่าพนักงานฝ่ายขายที่เพิ่งยื่นใบลาออกไปเมื่อเย็นวันศุกร์ ยังคงล็อกอินเข้ามารับส่งไฟล์งานสำคัญผ่านระบบ Network ของบริษัทได้อยู่ ทั้งที่นั่งอยู่ตรงร้านกาแฟใต้ตึก! พอผมเข้าไปตรวจสอบ log ใน Core Switch ถึงได้อ๋อ... ออฟฟิศยังใช้รหัส WiFi เดียวกันทั้งบริษัท แจกรหัส WPA2-Personal ใส่กระดาษแปะไว้ข้างฝาผนัง ต่อให้ลบ account อีเมลหรือปิดรหัสผ่านคอมพิวเตอร์ไปแล้ว แต่ตราบใดที่เขายังรู้รหัส WiFi รั้วความปลอดภัยชั้นแรกขององค์กรก็เหมือนไม่มีอยู่จริง

เหตุการณ์ครั้งนั้นทำให้ผมต้องรื้อระบบเครือข่ายใหม่ทั้งหมด และนั่นคือจุดเริ่มต้นที่ผมนำ ระบบ Radius Server เข้ามาเซ็ตอัปให้กับองค์กรเพื่อปิดช่องโหว่ทางความปลอดภัยนี้อย่างเด็ดขาดครับ

ระบบ Radius Server คืออะไร? ทำไมจึงเป็นหัวใจของ Network องค์กร

พูดให้เห็นภาพง่ายๆ โดยไม่ต้องอิงตำราเทคนิคให้ปวดหัว ระบบ Radius Server (Remote Authentication Dial-In User Service) ทำหน้าที่เหมือน "พนักงานรักษาความปลอดภัยประจำประตูหน้าบ้าน" ที่มีสมุดรายชื่อพนักงานทุกคนอยู่ในมือครับ

ในระบบ WiFi บ้านทั่วไป (WPA2/WPA3 Personal) เราจะใช้ Pre-Shared Key (PSK) หรือรหัสผ่านชุดเดียวกันทุกคน ใครรู้รหัสก็เสียบปลั๊กเข้าใช้งานได้ทันที แต่สำหรับองค์กรที่มีพนักงานตั้งแต่ 20 คนขึ้นไป การใช้รหัสผ่านรวมถือเป็นความเสี่ยงระดับวิกฤต เพราะเมื่อมีใครลาออก คุณไม่มีทางตามเปลี่ยนรหัส WiFi บนอุปกรณ์พนักงานอีก 50 คนที่เหลือได้ครบแน่นอน

Radius Server เข้ามาแก้ปัญหานี้ด้วยแนวคิด Centralized User Management หรือการบริหารจัดการผู้ใช้งานจากจุดศูนย์กลาง โดยทำงานร่วมกับโปรโตคอลมาตรฐานอย่าง 802.1X ทำให้พนักงานแต่ละคนต้องใช้ Username และ Password ของตัวเองในการล็อกอินเข้าใช้งานเครือข่าย หรือที่เรียกว่า WPA2/WPA3 Enterprise นั่นเองครับ

หลักการทำงานแบบ AAA Framework ใน Radius Server

เวลาผมอธิบายหลักการของ Radius ให้ทีมไอทีฟัง ผมมักจะสรุปผ่านหัวใจสำคัญ 3 ข้อที่เรียกว่า AAA Framework ซึ่งเป็นมาตรฐานสากลด้านความปลอดภัยเครือข่าย ดังนี้ครับ:

• Authentication (การยืนยันตัวตน): ตรวจสอบว่า "คุณคือใคร" เมื่ออุปกรณ์พนักงานขอเชื่อมต่อ WiFi ตัว Access Point จะส่งคำขอไปยัง Authentication Server เพื่อเช็คว่า Username และ Password ที่ใส่มาถูกต้องตรงกับฐานข้อมูลหรือไม่
• Authorization (การอนุมัติสิทธิ์): ตรวจสอบว่า "คุณทำอะไรได้บ้าง" หลังจากยืนยันตัวตนผ่าน Server จะส่งคำสั่งกลับมาบอก Switch หรือ Access Point ว่า ยูสเซอร์คนนี้อยู่แผนกบัญชี ให้เข้าถึงเฉพาะ VLAN บัญชีเท่านั้น ห้ามข้ามไป VLAN ของฝั่งเซิร์ฟเวอร์การผลิต
• Accounting (การบันทึกข้อมูล): บันทึกประวัติว่า "คุณใช้งานอะไร ไปเมื่อไหร่" ระบบจะเก็บ Log เวลาเริ่มเชื่อมต่อ ปริมาณข้อมูลที่ใช้ และเวลาที่ออกจากระบบอย่างละเอียด ซึ่งตรงตามข้อกำหนดของ พ.ร.บ.คอมพิวเตอร์ อีกด้วย

4 เหตุผลที่องค์กรต้องเปลี่ยนมาใช้ Radius Server ควบคุมความปลอดภัย

จากประสบการณ์ที่ผมเข้าไปวางระบบ Network ให้กับออฟฟิศ โรงงาน และโรงแรมหลายแห่ง นี่คือประโยชน์ที่เห็นผลทันทีหลังติดตั้ง Radius Server ครับ

1. ยกเลิกสิทธิ์พนักงานเก่าได้ทันทีใน 5 วินาที

เมื่อพนักงานลาออกหรือถูกยกเลิกสัญญา ฝ่ายไอทีแค่ปิดสถานะบัญชีใน User Database (เช่น Active Directory หรือ LDAP) เพียงจุดเดียว พนักงานคนนั้นจะไม่สามารถเชื่อมต่อ WiFi หรือเครือข่ายองค์กรได้อีกเลยทันที โดยไม่ต้องไปนั่งรีเซ็ตรหัส WiFi บน Access Point ทุกตัวในอาคาร

2. ตัดปัญหาการแอบแจกรหัส WiFi ให้คนนอก

ด้วยโครงสร้าง WPA2 Enterprise พนักงานไม่สามารถแอบเปิดดูรหัส WiFi ในเครื่องตัวเองเพื่อเอาไปบอกเพื่อนสนิทหรือผู้รับเหมาได้ เพราะการเชื่อมต่อถูกผูกไว้กับบัญชีบุคคล ถ้าคนนอกจะใช้งาน ไอทีจะต้องสร้าง Guest Account แบบกำหนดอายุการใช้งานให้แยกต่างหาก

3. แบ่งโซนการเข้าถึงข้อมูลตามบทบาท (VLAN Assignment)

ระบบ Radius Server สามารถจ่ายค่า Dynamic VLAN ให้กับผู้ใช้ได้โดยอัตโนมัติ สมมติว่าพนักงานฝ่าย IT ล็อกอิน Access Point ตัวเดียวกับพนักงานฝ่าย HR ระบบจะส่งพนักงาน IT ไปยัง VLAN 10 (Admin Zone) ส่วนพนักงาน HR จะถูกส่งไป VLAN 20 (HR Zone) ช่วยจำกัดขอบเขตการเข้าถึงข้อมูลสำคัญอย่างมีประสิทธิภาพ

4. รองรับการยืนยันตัวตนหลายรูปแบบ

นอกจาก Username และ Password แล้ว เรายังสามารถยกระดับความปลอดภัยขั้นสูงด้วยการใช้ Digital Certificate (EAP-TLS) ซึ่งเป็นการฝังใบรับรองความปลอดภัยลงบนเครื่องคอมพิวเตอร์ของบริษัทเท่านั้น อุปกรณ์แปลกปลอมแม้จะรู้รหัสผ่านก็ไม่สามารถล็อกอินเข้าเครือข่ายได้

อุปกรณ์และซอฟต์แวร์ที่นิยมใช้ทำ Radius Server

หลายคนมักเข้าใจผิดว่าการทำ Radius ต้องซื้อเซิร์ฟเวอร์ราคาหลักแสน แต่ในความจริงปัจจุบันมีทางเลือกที่ยืดหยุ่นมากครับ:

• MikroTik RADIUS (User Manager): เหมาะสำหรับองค์กรขนาดเล็กถึงกลางที่ใช้ RouterBoard ของ MikroTik อยู่แล้ว สามารถเปิดใช้งานฟังก์ชัน User Manager เพื่อทำ Radius พิสูจน์ตัวตนได้ทันทีโดยไม่ต้องเพิ่มฮาร์ดแวร์
• FreeRADIUS บน Linux: Open Source Radius Server ที่ทรงพลังที่สุด ได้รับความนิยมสูงในองค์กรขนาดใหญ่ สามารถเชื่อมต่อกับ MySQL หรือ OpenLDAP เพื่อรองรับยูสเซอร์หลักหมื่นคนได้อย่างสบาย
• Windows Server Network Policy Server (NPS): ทางเลือกยอดนิยมสำหรับออฟฟิศที่ใช้งาน Active Directory Domain Services อยู่แล้ว เพราะสามารถดึงฐานข้อมูลพนักงานมาใช้งานร่วมกับ 802.1X ได้แบบ Native
• Synology RADIUS Server: สำหรับออฟฟิศขนาดเล็กที่มี NAS ของ Synology อยู่แล้ว สามารถกดติดตั้ง Package RADIUS Server เพื่อเริ่มใช้งานได้ง่ายๆ ในไม่กี่คลิก

สรุปจากวิศวกร SIAM-LOGIN

ความปลอดภัยของระบบเครือข่ายไม่ได้จบอยู่แค่การตั้งรหัสผ่าน WiFi ให้เดายากๆ ครับ ตราบใดที่ยังใช้รหัสผ่านรวมกันทั้งองค์กร ความเสี่ยงเรื่องข้อมูลรั่วไหลก็ยังคงอยู่ การลงทุนปรับมาใช้ ระบบ Radius Server ร่วมกับมาตรฐาน 802.1X คือก้าวสำคัญที่จะเปลี่ยนเครือข่ายองค์กรของคุณให้กลายเป็นป้อมปราการที่รัดกุม บริหารจัดการง่าย และตอบโจทย์มาตรฐานความปลอดภัยไซเบอร์ในยุคปัจจุบันครับ