วางระบบ Enterprise Network 500+ Devices อย่างไรไม่ให้ร่วง

ออฟฟิศสำนักงานใหญ่ย่านสาทร ติดต่อผมเข้ามาด้วยอาการสุดฮิตครับ พนักงานรวมกับผู้มาติดต่อประมาณ 500 กว่าคน จู่ๆ อินเทอร์เน็ตก็หลุดทั้งตึก ระบบงานค้าง โน้ตบุ๊กต่อ WiFi ได้แต่ขึ้น No Internet ส่วนสมาร์ตโฟนดึง IP ไม่ผ่าน หน้างานปั่นป่วนกันไปหมด พอผมเข้าไปตรวจเช็กดู สิ่งที่เจอไม่ใช่เรื่องแปลกเลยครับ แต่เกิดจากการใช้ Router สเปกบ้านๆ ทำหน้าที่ทุกอย่าง พร้อมกับการวางโครงสร้างเครือข่ายแบบรวมทุกอย่างไว้ในวงเดียว

การวางระบบสำหรับอุปกรณ์เกิน 500 Devices ไม่ใช่แค่การซื้อ Router ตัวแรงๆ มาเสียบแล้วจบ แต่มันคือการวางรากฐานทางวิศวกรรมเครือข่ายครับ วันนี้ผมเลยอยากมาแชร์ประสบการณ์และแนวทางการออกแบบระบบ Enterprise Network จากเคสจริงที่ SIAM-LOGIN ใช้ในการแก้ปัญหาและออกแบบระบบให้กับลูกค้ารายใหญ่ครับ

1. คีย์หลักเริ่มที่ Topology: แยก Layer 2 และ Layer 3 ให้เด็ดขาด

ความผิดพลาดอันดับหนึ่งที่ผมเจอบ่อยที่สุด คือการปล่อยให้ Broadcast Domain มันใหญ่เกินไป หรือที่เรียกว่า Flat Network ครับ พออุปกรณ์ 500-600 เครื่อง อยู่บน Subnet เดียวกัน เช่น 192.168.1.0/22 เวลาเกิด Broadcast Traffic จากเครื่องใดเครื่องหนึ่ง มันจะส่งกระจายไปหาทุกอุปกรณ์ในเครือข่าย ส่งผลให้ CPU ของ Switch และ Access Point ทำงานหนักจนระบบร่วง

สิ่งที่ผมทำในเคสนี้คือการวางโครงสร้างแบบ Three-Tier Architecture หรือ Core-Access Structure ครับ:

• Core Layer: ใช้ Core Switch ระดับ L3 ที่รองรับ Throughput สูง ทำหน้าที่เป็น Routing Engine หลัก และบริหารจัดการ Inter-VLAN Routing
• Distribution Layer: ทำหน้าที่รวมสายจากแต่ละชั้นและจัดการ Policy ควบคุมความปลอดภัย เช่น Access Control List (ACL)
• Access Layer: ใช้ PoE Switch เชื่อมต่อไปยัง Access Point Enterprise และคอมพิวเตอร์พนักงาน โดยเปิดใช้งาน Feature ป้องกัน Loop อย่าง Spanning Tree Protocol (STP) และ DHCP Snooping

2. การทำ VLAN Segmentation และจัดการ DHCP Server Pool

เมื่อแบ่ง Layer ชัดเจนแล้ว ขั้นตอนต่อมาที่ผมให้ความสำคัญมากคือการทำ VLAN Segmentation ครับ อุปกรณ์ 500+ เครื่อง ไม่ควรอยู่รวมกันเด็ดขาด ผมมักจะแบ่งออกเป็นกลุ่มตามการใช้งาน ดังนี้:

• VLAN 10 (Staff): สำหรับคอมพิวเตอร์พนักงาน (Subnet /24 รองรับประมาณ 200 IPs)
• VLAN 20 (Management): สำหรับ Switch, Access Point, Server และอุปกรณ์โครงสร้างพื้นฐาน
• VLAN 30 (IoT/CCTV): สำหรับกล้องวงจรปิด และระบบ IP Phone
• VLAN 40 (Guest WiFi): สำหรับผู้มาติดต่อ โดยใช้ Subnet /22 เพื่อให้รองรับ IP ได้เพียงพอกับ Traffic ที่หมุนเวียน

นอกจากนี้ เรื่อง DHCP Server Pool ถือเป็นจุดตายครับ หลายองค์กรตั้ง Lease Time ไว้นานถึง 12-24 ชั่วโมง พอ Guest คนเก่าออกไป IP ก็ยังถูกจองไว้ คนมาใหม่เลยรับ IP ไม่ได้ เกิดปัญหา IP Pool เต็ม (DHCP Exhaustion) ผมจึงปรับ Lease Time ของ Guest ให้เหลือเพียง 1-2 ชั่วโมง และแยก Dedicated Router หรือ Server ทำหน้าที่แจก DHCP โดยเฉพาะ

3. การคัดเลือก Hardware และการทำ Load Balancing

ในการออกแบบระบบ Enterprise Network ที่มีผู้ใช้งานหนาแน่น การพึ่งพาอินเทอร์เน็ตจาก ISP เพียงเส้นเดียวถือเป็นความเสี่ยงที่ไม่คุ้มค่าครับ ประสบการณ์ของผมแนะนำว่าต้องทำ Multi-WAN Load Balancing เสมอ

ผมเลือกใช้ Router และ Firewall ระดับ Enterprise (เช่น MikroTik CCR Series หรือ Enterprise Firewall) ทำ Multi-WAN Connection ร่วมกับการกำหนด Routing Policy เช่น เอา Traffic สำคัญของระบบงานบริษัทออกผ่าน Leased Line ความเร็วสูง ส่วน Guest WiFi ให้ออกผ่าน FTTx ธรรมดา 2-3 เส้น เพื่อทำ Bandwidth Management ไม่ให้ Traffic ฝั่งผู้มาติดต่อมาดึง bandwidth ขององค์กร

4. การออกแบบ WiFi Roaming และจัดสรร RF Parameter สำหรับ Access Point Enterprise

สัญญาณ WiFi ที่แรงเกินไป ไม่ได้แปลว่าดีครับ! เคสส่วนใหญ่ที่ WiFi ช้า หรือสะดุด เกิดจาก Access Point ส่งสัญญาณตีกันเอง (Co-channel Interference) และ Client เกาะ AP ตัวเดิมไม่ยอมปล่อย (Sticky Client)

โซลูชันที่ผมเข้าไปปรับปรุง ได้แก่:

• ปรับลด TX Power: ปรับกำลังส่งของ Access Point Enterprise แต่ละตัวลงให้อยู่ในระดับที่เหมาะสม เพื่อให้ขอบเขตสัญญาณขนานพอดีกัน ไม่เกยกันมากเกินไป
• เปิดใช้งาน 802.11r/k/v: ทำระบบ WiFi Roaming เพื่อให้สมาร์ตโฟนหรือโน้ตบุ๊กสามารถสลับไปเกาะ Access Point ตัวที่ใกล้ที่สุดได้อย่างไรร่องรอย สัญญาณไม่หลุดขณะเดินเปลี่ยนห้อง
• ปรับขนาด Channel Width: ลดความกว้างช่องสัญญาณ 5GHz จาก 80MHz เหลือ 20MHz หรือ 40MHz ในพื้นที่ที่มี Access Point หนาแน่น เพื่อลดสัญญาณกวนกัน

5. ระบบยืนยันตัวตนและการเก็บ Log ตามกฎหมาย

สำหรับเครือข่ายองค์กรที่มีผู้ใช้งานมากกว่า 500 คน การจัดการสิทธิ์และการยืนยันตัวตนมีความสำคัญมากครับ ผมแนะนำให้เชื่อมต่อ Access Control เข้ากับ RADIUS Authentication Server ร่วมกับ Active Directory เพื่อจัดการสิทธิ์แยกตามแผนก

ส่วนของ Guest WiFi ผมแนะนำให้ใช้ระบบ WiFi Hotspot Captive Portal ที่รองรับการยืนยันตัวตนผ่าน SMS หรือ Social Login เพื่อเก็บข้อมูลจราจรทางคอมพิวเตอร์ (Log) ให้ถูกต้องตามกฎหมาย โดยแยก Log Server ออกมาต่างหากเพื่อไม่ให้กระทบประสิทธิภาพของ Router หลัก

สรุปบทเรียนจากวิศวกรหน้างาน

การออกแบบระบบ Enterprise Network ให้รองรับ 500+ Devices ไม่ใช่แค่เรื่องของการซื้ออุปกรณ์ราคาแพง แต่คือการเข้าใจพฤติกรรมการใช้งาน การบริหารจัดการ Bandwidth Management การทำ VLAN Segmentation และการจัดระเบียบสัญญาณไร้สายอย่างถูกวิธี หากองค์กรของคุณกำลังประสบปัญหา WiFi สะดุด ระบบหลุดบ่อย ลองนำแนวทางที่ผมเล่าไปปรับใช้ หรือปรึกษาทีมงาน SIAM-LOGIN เพื่อประเมินและวางระบบหน้างานได้ครับ