วางโครงสร้าง Network สำนักงานและโรงงาน ให้รับ User ได้ปลอดภัย

โรงงานผลิตชิ้นส่วนยานยนต์แห่งหนึ่งในนิคมอุตสาหกรรมมาบตาพุด สายโทรศัพท์จากฝ่าย IT ของที่นั่นโทรหาผมด้วยน้ำเสียงเครียดจัด เพราะระบบเน็ตเวิร์กของโรงงานล่มติดต่อกันเป็นวันที่สาม ออฟฟิศส่งอีเมลไม่ได้ เครื่องจักรในสายการผลิตหลุดเชื่อมต่อจากเซิร์ฟเวอร์หลัก และไลน์ประกอบต้องหยุดชะงักชั่วคราว คิดเป็นมูลค่าความเสียหายหลายแสนบาทต่อชั่วโมง

พอผมพาทีมงาน SIAM-LOGIN ถือโน้ตบุ๊กเข้าไปสแกนระบบ ก็พบปัญหาระดับคลาสสิกที่เจอบ่อยมากในองค์กรขนาดใหญ่ นั่นคือการใช้ระบบเครือข่ายแบบ Flat Network หรือการนำคอมพิวเตอร์ฝ่ายบัญชี เครื่องจักร PLC กล้องวงจรปิด และ Wi-Fi พนักงาน ทุกอย่างกว่า 800 อุปกรณ์ เสียบรวมกันอยู่ในวง LAN เดียวกันโดยไม่มีการแบ่ง VLAN หรือกั้น Firewall เล็กๆ น้อยๆ เลยแม้แต่น้อย

1. ทำไม Network สำนักงานและโรงงานถึงล่มง่ายเมื่อ User เพิ่มขึ้น?

เมื่ออุปกรณ์ในระบบมีจำนวนมาก สิ่งที่ตามมาอย่างหลีกเลี่ยงไม่ได้คือ Broadcast Storm หรือขยะแพ็กเกจข้อมูลที่กระจายไปทักทายทุกอุปกรณ์ในวง หากมีคอมพิวเตอร์สักเครื่องติดไวรัส Ransomware หรือมีพนักงานนำ Router ตัวเล็กๆ มาเสียบต่อเองจนเกิด IP ชนกัน (IP Conflict) หรือเกิด Loop ในระบบ สวิตช์ทั้งเครือข่ายจะทำงานหนักจน CPU พุ่ง 100% แล้วระบบทั้งหมดก็ล่มลงทันที

นอกจากนี้ ในฝั่งโรงงานอุตสาหกรรม ระบบ IT (Information Technology) และระบบ OT (Operational Technology หรือระบบควบคุมเครื่องจักร) ไม่ควรสื่อสารกันได้โดยตรง เพราะหากฝั่งออฟฟิศโดนภัยคุกคาม Cyber Attack ไวรัสอาจลามไปดับเครื่องจักรในไลน์ผลิตได้เลยครับ

2. วางโครงสร้าง Network ด้วยเทคนิค VLAN Segmentation

เทคนิคหลักที่ผมใช้แก้ปัญหานี้ให้โรงงานและออฟฟิศทุกแห่ง คือการทำ VLAN Segmentation หรือการตัดแบ่งวงเครือข่ายเสมือน ออกเป็นโซนๆ บนสวิตช์ตัวเดียวกัน เพื่อแยก Traffic ไม่ให้กวนกัน และจำกัดขอบเขตความเสียหายหากเกิดปัญหา

ตัวอย่างการแบ่ง VLAN ที่เป็นมาตรฐานสำหรับองค์กร

• VLAN 10 (Management): สำหรับอุปกรณ์โครงสร้างพื้นฐาน เช่น MikroTik Router, Core Switch, Access Point องค์กร อนุญาตให้เฉพาะทีม Network Admin เข้าถึงได้เท่านั้น
• VLAN 20 (Office Staff): สำหรับคอมพิวเตอร์และโน้ตบุ๊กของพนักงานออฟฟิศ ฝ่ายขาย บัญชี และ HR
• VLAN 30 (Factory & OT): สำหรับเครื่องจักร PLC, คอมพิวเตอร์ควบคุมไลน์ผลิต และอุปกรณ์ IoT ในโรงงาน วงนี้จะถูกบล็อกไม่ให้ออกอินเทอร์เน็ตภายนอกโดยไม่จำเป็น
• VLAN 40 (CCTV & Security): สำหรับกล้องวงจรปิด และระบบ Access Control ประตู เพื่อป้องกันไม่ให้คนภายนอกแอบดักดูภาพกล้อง
• VLAN 50 (Guest & Hotspot): สำหรับผู้มาติดต่อ หรือ Wi-Fi พนักงานส่วนตัว ตัดขาดจากระบบภายในอย่างเด็ดขาด และบังคับยืนยันตัวตนผ่านระบบ SIAM-LOGIN

3. การเลือกอุปกรณ์ Router และ Core Switch ให้เอาอยู่

การวางโครงสร้าง Network ให้รองรับ User และอุปกรณ์จำนวนมาก ต้องเลือกรวมศูนย์การทำงานที่มีประสิทธิภาพสูงครับ

Core Switch (Layer 3 Managed Switch)

ผมแนะนำให้ใช้ Core Switch ที่รองรับ Layer 3 เพื่อทำ Inter-VLAN Routing ในระดับฮาร์ดแวร์ ปล่อยให้ Traffic ที่คุยกันเองภายในองค์กรจบที่ Core Switch โดยไม่ต้องโยนภาระไปให้ Router หลัก นอกจากนี้ควรเปิดใช้งาน LACP (Link Aggregation) หรือการมัดสาย LAN หลายเส้นเข้าด้วยกัน เพื่อเพิ่ม Bandwidth ระหว่าง Switch และทำ Link Redundancy สำรองสายกรณีสายใดสายหนึ่งขาด

Edge Router และการตั้งค่า Firewall Rules

อุปกรณ์ฝั่ง Gateway ผมมักเลือกใช้ MikroTik Router รุ่นใหญ่ (เช่น CCR Series) เนื่องจากยืดหยุ่นสูง และจัดการ Firewall Rules ได้ละเอียดมาก ผมจะตั้งค่าดักจับ Drop Traffic ที่ไม่ได้รับอนุญาตระหว่าง VLAN เช่น บล็อก VLAN Guest ไม่ให้มองเห็น VLAN Office หรือตั้งค่า Drop Invalid Packets เพื่อป้องกันการโจมตี

นอกจากนี้ การทำ Bandwidth Management หรือ QoS (Quality of Service) ก็สำคัญไม่แพ้กัน ผมจะจำกัดความเร็วของพนักงานและผู้มาติดต่อ พร้อมบล็อก BitTorrent หรือเว็บ Streaming ที่กินแบนด์วิธสูง เพื่อคงความเร็วไว้ให้ระบบ ERP, CRM และระบบงานหลักของบริษัททำงานได้อย่างลื่นไหลตลอดเวลา

4. ความปลอดภัยและความน่าเชื่อถือของ Wi-Fi องค์กร

ในโรงงานที่มีพื้นที่กว้าง หรือสำนักงานหลายชั้น การเลือก Access Point องค์กร ที่รองรับ Seamless Roaming (เช่น 802.11k/v/r) เป็นสิ่งสำคัญมาก เพื่อให้พนักงานที่ถือแท็บเล็ตเดินตรวจงานในโรงงาน สามารถเชื่อมต่อสัญญาณได้ต่อเนื่องโดยเน็ตไม่หลุด

ในส่วนของ Wi-Fi สำหรับพนักงาน ผมแนะนำให้ใช้ระบบ 802.1X ร่วมกับ SIAM-LOGIN Authentik หรือ RADIUS Server ในการยืนยันตัวตนด้วย Username/Password ของแต่ละบุคคล แทนการใช้ WPA2 Pre-Shared Key ที่แจกรหัสผ่านเดียวให้ทุกคน เพราะเมื่อมีพนักงานลาออก เราเพียงแค่ปิด Account นั้น โดยไม่ต้องไปเปลี่ยนรหัสผ่าน Wi-Fi ของคนทั้งบริษัทให้วุ่นวาย

สรุป: ออกแบบโครงสร้าง Network วันนี้ เพื่อการเติบโตที่มั่นคง

การวางโครงสร้าง Network สำนักงานและโรงงานอุตสาหกรรม ไม่ใช่แค่การซื้อ Router หรือ Switch แรงๆ มาเสียบปลั๊กแล้วจบครับ แต่เป็นการวางระบบสถาปัตยกรรม (Network Architecture) ที่คิดถึงเรื่อง Security, Scalability และ Performance ไปพร้อมกัน การแยก VLAN Segmentation, การตั้งค่า Firewall Rules ที่กุมความปลอดภัยเข้มงวด และการบริหาร Bandwidth Management อย่างเหมาะสม จะช่วยให้องค์กรของคุณทำงานได้อย่างต่อเนื่องโดยไม่มีสะดุด หากคุณกำลังต้องการปรับปรุงระบบ Network ในองค์กร ทีมงาน SIAM-LOGIN พร้อมให้คำปรึกษาและออกแบบระบบที่เหมาะสมกับงบประมาณของคุณครับ