ระบบ Radius Server คืออะไร? ยกระดับความปลอดภัยเครือข่ายองค์กร

บ่ายวันจันทร์สัปดาห์ก่อน มีพนักงานไอทีประจำบริษัทลูกค้าแห่งหนึ่งเพิ่งยื่นใบลาออกกะทันหัน หัวหน้าฝ่าย IT เดินมาถามผมด้วยสีหน้าเครียดจัดว่า 'พี่ครับ พนักงานคนนี้รู้รหัส Wi-Fi ออฟฟิศ รู้รหัสผ่าน Switch ทุกตัว แถมยังเข้าถึงข้อมูลฝ่ายบัญชีได้ด้วย เราต้องมานั่งเปลี่ยนรหัสผ่าน Wi-Fi ให้พนักงานอีก 150 คนใหม่หมดเลยไหม?' นี่คือคำถามคลาสสิกที่ผมเจอบ่อยมาก และคำตอบของผมเสมอคือ ถ้าองค์กรของคุณเปลี่ยนมาใช้ ระบบ Radius Server เหตุการณ์ปวดหัวแบบนี้จะไม่มีทางเกิดขึ้นแน่นอนครับ

องค์กรจำนวนมากในประเทศไทยยังคงใช้ Wi-Fi แบบ Pre-Shared Key (WPA2/WPA3 Personal) ที่ทุกคนใช้รหัสผ่านเดียวกันทั้งบริษัท ซึ่งเป็นช่องโหว่ความปลอดภัยขนาดใหญ่ เพราะเมื่อไหร่ก็ตามที่มีคนลาออก หรือรหัสหลุดไปถึงบุคคลภายนอก เครือข่ายทั้งหมดของคุณก็จะตกอยู่ในความเสี่ยงทันที

ปัญหาของการใช้รหัสผ่าน Wi-Fi ร่วมกันในองค์กร

ก่อนจะไปดูว่าเซิร์ฟเวอร์ยืนยันตัวตนทำงานอย่างไร ผมอยากให้มองเห็นภาพความเสี่ยงของการไม่ใช้ระบบยืนยันตัวตนกลางก่อนครับ

• รหัสผ่านรั่วไหล่ง่าย: พนักงานส่งรหัส Wi-Fi ให้เพื่อน แม่ค้า หรือผู้มาติดต่อ ทำให้มีอุปกรณ์แปลกปลอมเข้ามาดักจับข้อมูลในระบบ LAN
• การยกเลิกสิทธิ์ทำได้ยาก: เมื่อพนักงานลาออก การจะลบสิทธิ์เข้าถึง Network ต้องเปลี่ยนรหัส Wi-Fi ใหม่บน Access Point ทุกตัว และต้องแจกรหัสใหม่ให้ทุกคนในบริษัท ซึ่งยุ่งยากและเสียเวลาอย่างมาก
• ตรวจสอบผู้กระทำผิดไม่ได้: หากเกิดเหตุการณ์ข้อมูลรั่วไหล หรือมีการโหลดไฟล์ผิดกฎหมาย คุณจะไม่สามารถระบุได้เลยว่าใครเป็นคนทำ เพราะทุกคนใช้รหัสผ่านตัวเดียวกัน

ระบบ Radius Server คืออะไร? ทำงานอย่างไรในเครือข่ายองค์กร

คำว่า RADIUS ย่อมาจาก Remote Authentication Dial-In User Service ครับ ถ้าอธิบายแบบเข้าใจง่ายที่สุด ระบบ Radius Server คือ 'ยามเฝ้าประตูศูนย์กลาง' ของระบบ Network ทำหน้าที่ตรวจสอบตัวตน (Authenticate) กำหนดสิทธิ์ (Authorize) และบันทึกประวัติการใช้งาน (Accounting) ของผู้ใช้งานทุกคนก่อนจะอนุญาตให้เชื่อมต่อเข้าเครือข่าย

แทนที่ Access Point หรือ Switch จะเป็นคนเก็บบัญชีรายชื่อและรหัสผ่าน อุปกรณ์เหล่านั้นจะโยนหน้าที่ตรวจสอบมาให้เซิร์ฟเวอร์ตัวนี้จัดการเพียงจุดเดียว โดยอาศัยสถาปัตยกรรมความปลอดภัยมาตรฐาน 802.1X

กระบวนการทำงานหลัก 3 ส่วน (AAA Framework)

• Authentication (การยืนยันตัวตน): ตรวจสอบว่า Username และ Password ที่ผู้ใช้กรอกเข้ามาถูกต้องตรงกับฐานข้อมูลหรือไม่
• Authorization (การอนุมัติสิทธิ์): เมื่อยืนยันตัวตนผ่าน เซิร์ฟเวอร์จะบอกอุปกรณ์เครือข่ายว่า ผู้ใช้นี้มีสิทธิ์เข้าถึง Network ไหน เช่น ให้พนักงานฝ่ายบัญชีไปอยู่ VLAN 20 ส่วนฝ่ายขายอยู่ VLAN 30
• Accounting (การเก็บข้อมูลการใช้งาน): บันทึกเวลาเริ่มเชื่อมต่อ เวลาเลิกใช้งาน IP Address ที่ได้รับ และปริมาณข้อมูลที่ใช้ เพื่อใช้ตรวจสอบย้อนหลัง

4 เหตุผลที่องค์กรยุคใหม่ต้องยกระดับความปลอดภัยด้วย Radius Server

1. บอกลารหัสผ่านส่วนกลางด้วยมาตรฐาน 802.1X และ WPA3-Enterprise

เมื่อติดตั้งระบบนี้ พนักงานทุกคนจะมี Username และ Password เป็นของตัวเอง หรือใช้ Certificate ประจำเครื่องในการล็อกอิน การยืนยันตัวตน Wi-Fi องค์กร จะมีความปลอดภัยสูงมากด้วยการเข้ารหัสแบบ WPA2/WPA3-Enterprise หมดปัญหาเรื่องรหัส Wi-Fi รั่วไหล

2. บริหารจัดการสิทธิ์แบบ Centralized Authentication

เมื่อพนักงานลาออก หรือมีการปรับเปลี่ยนแผนก ผู้ดูแลระบบเพียงแค่ไปกด Disable หรือลบบัญชีผู้ใช้ในระบบ Active Directory หรือ LDAP ศูนย์กลางเพียงจุดเดียว สิทธิ์การเข้าถึง Wi-Fi, VPN และระบบ LAN ของพนักงานคนนั้นก็จะถูกตัดทันที โดยไม่ต้องไปนั่งรีเซ็ตรหัสผ่านบน Access Point แม้แต่ตัวเดียวครับ

3. กำหนด VLAN Assignment ตามแผนกอย่างอัตโนมัติ

ระบบนี้สามารถส่งค่า Dynamic VLAN ไปยัง Managed Switch หรือ Access Point ได้ทันทีที่ผู้ใช้ล็อกอิน เช่น พนักงานคนเดียวกัน นำโน้ตบุ๊กไปเสียบปลั๊ก LAN ตรงไหนในตึก ระบบก็จะจัดพนักงานคนนั้นให้อยู่ใน VLAN ของแผนกตัวเองเสมอ ป้องกันการแอบส่องข้อมูลข้ามแผนกได้สมบูรณ์แบบ

4. รองรับการบันทึก Log เครือข่ายตามกฎหมาย

การบันทึกประวัติว่าใคร เข้าใช้งานเมื่อไหร่ ใช้ IP อะไร เป็นสิ่งจำเป็นมาก การมีเซิร์ฟเวอร์ยืนยันตัวตนศูนย์กลางจะช่วยให้การระบุตัวตนผู้ใช้งานสอดคล้องกับการเก็บ Log ตาม พ.ร.บ. คอมพิวเตอร์ ได้อย่างถูกต้องและแม่นยำ

การประยุกต์ใช้งาน Radius Server ในอุปกรณ์เน็ตเวิร์กยอดนิยม

ในประสบการณ์การวางระบบของผมที่ SIAM-LOGIN การทำเซิร์ฟเวอร์ยืนยันตัวตนสามารถเลือกใช้ได้หลายรูปแบบตามขนาดองค์กรครับ

สำหรับองค์กรขนาดกลาง-ใหญ่: เรามักจะใช้ Microsoft Active Directory Network Policy Server (NPS) หรือ FreeRADIUS ทำงานร่วมกับ Cisco, Ubiquiti UniFi หรือ Aruba Access Point เพื่อดึงฐานข้อมูลพนักงานที่มีอยู่แล้วมาใช้งานได้ทันที

สำหรับองค์กรขนาดเล็ก หรือไซต์งานสาขา: การเลือกใช้ MikroTik RADIUS (User Manager) ก็เป็นโซลูชันที่ประหยัดงบประมาณและมีประสิทธิภาพสูง สามารถควบคุมทั้งระบบ Hotspot, PPPoE และ User 802.1X ได้จบในตัวเดียว

สรุป: เมื่อไหร่ที่องค์กรของคุณควรเริ่มทำระบบนี้?

ถ้าบริษัทของคุณเริ่มมีพนักงานมากกว่า 15-20 คนขึ้นไป มีการแบ่งแผนกชัดเจน หรือเริ่มมีความกังวลเรื่องความปลอดภัยของข้อมูลลูกค้าและบัญชี ผมแนะนำว่าถึงเวลาที่คุณต้องเลิกใช้รหัส Wi-Fi เดียวกันทั้งออฟฟิศ แล้วหันมาลงทุนวาง ระบบ Radius Server ได้แล้วครับ

การลงทุนระบบความปลอดภัยเครือข่ายตั้งแต่วันนี้ ค่าใช้จ่ายน้อยกว่าความเสียหายที่อาจเกิดขึ้นเมื่อข้อมูลสำคัญของบริษัทรั่วไหลออกไปภายนอกหลายเท่าตัวแน่นอนครับ หากคุณต้องการคำปรึกษาเกี่ยวกับการวางระบบ Network และความปลอดภัยในองค์กร สามารถติดต่อผมและทีมงาน SIAM-LOGIN ได้ตลอดเวลาครับ