วางโครงสร้าง VLAN และ Firewall ออกแบบระบบเครือข่ายสำนักงาน 100-500 คน

วันอังคารตอนสิบโมงเช้า ฝ่าย HR วิ่งหน้าตื่นมาหาผมที่ห้องเซิร์ฟเวอร์ พร้อมบอกว่าคอมพิวเตอร์ในแผนกเปิดไฟล์เอกสารไม่ได้ แถมมีป๊อบอัพข้อความเรียกค่าไถ่แรนซัมแวร์ขึ้นหราเต็มหน้าจอ พอย้อนไปเช็กระบบ ถึงได้รู้ว่าพนักงานใหม่เสียบแฟลชไดร์ฟที่ติดไวรัส แถมเครือข่ายทั้งออฟฟิศขนาด 200 กว่าคนนั้นถูกต่อแบบ Flat Network คือทุกคนอยู่วง IP เดียวกันทั้งหมด ไวรัสเลยวิ่งกระจายข้ามแผนกไปยัง Server บัญชีได้ภายในไม่กี่นาที

เหตุการณ์วันนั้นกลายเป็นบทเรียนราคาแพงที่ทำให้ผมต้องรื้อโครงสร้าง Network ใหม่ทั้งหมด วันนี้ผมเลยอยากมาแชร์ประสบการณ์และแนวทางการออกแบบระบบเครือข่ายสำนักงานขนาด 100-500 คนอย่างถูกวิธี โดยเน้นการทำ Network Segmentation ด้วย VLAN ร่วมกับการตั้งค่า Firewall Rule เพื่อบล็อกภัยคุกคามไม่ให้ลามไปทั่วองค์กรครับ

ทำไมออฟฟิศขนาด 100-500 คน ถึงห้ามใช้ Flat Network เด็ดขาด

หลายองค์กรตอนเริ่มตั้งไข่มีพนักงาน 10-20 คน มักจะซื้อ Unmanaged Switch มาเสียบพ่วงกันไปเรื่อยๆ ซึ่งก็ใช้งานได้ดี แต่พอธุรกิจเติบโตจนมีพนักงานแตะหลักร้อยคน ปัญหาที่ตามมาไม่ได้มีแค่เรื่องความปลอดภัย แต่รวมถึงประสิทธิภาพเครือข่ายด้วย

ปัญหาหลักๆ ที่ผมเจอประจำจากเครือข่ายแบบ Flat Network มีอยู่ 3 ข้อใหญ่:

• Broadcast Storm: อุปกรณ์ 300-500 เครื่องส่ง packet ประกาศตัวตลอดเวลา ทำให้สวิตช์ทำงานหนัก เน็ตอืดแบบหาสาเหตุไม่ได้
• ไร้การจำกัดสิทธิ์ Access Control: เด็กฝึกงาน หรือผู้มาติดต่อที่ต่อ WiFi Guest สามารถ Ping เจอเครื่อง NAS หรือ Database Server ของฝ่ายบัญชีได้โดยตรง
• ภัยคุกคามลุกลามรวดเร็ว: หากมีเครื่องใดเครื่องหนึ่งติด Malware หรือ Ransomware มันจะ Scanning และกระจายตัวไปยังเครื่องอื่นใน Subnet เดียวกันได้อย่างง่ายดาย

วางโครงสร้าง Network Segmentation ด้วย VLAN แบ่งตามแผนกและหน้าที่

การแก้ไขปัญหาข้างต้น ต้องเริ่มจากการทำ VLAN (Virtual Local Area Network) เพื่อแยกวง Traffic ออกจากกันทางตรรกะ แม้จะใช้ Switch ใบเดียวกันก็ตาม สำหรับการออกแบบระบบเครือข่ายสำนักงานขนาด 100-500 คน ผมมักจะออกแบบการแบ่ง Subnet และ VLAN ID ไว้อย่างเป็นระบบดังนี้ครับ

• VLAN 10 - Management (10.10.10.0/24): สำหรับอุปกรณ์เครือข่าย เช่น Core Switch, Access Point, Firewall (อนุญาตเฉพาะ IT Administrator เข้าถึง)
• VLAN 20 - Corporate / Staff (10.10.20.0/22): สำหรับคอมพิวเตอร์และโน้ตบุ๊กของพนักงานทั่วไป แจก IP สเกลใหญ่รองรับได้ถึง 1,000 IP
• VLAN 30 - Finance & HR (10.10.30.0/24): สำหรับแผนกสำคัญที่เก็บข้อมูลความลับ ต้องมีการบีบสิทธิ์เข้าถึงเข้มงวดเป็นพิเศษ
• VLAN 40 - Server Zone / DMZ (10.10.40.0/24): เก็บเครื่อง Server, NAS, Application Server ต่างๆ
• VLAN 50 - Guest WiFi (10.10.50.0/23): สำหรับผู้มาติดต่อ ออกอินเทอร์เน็ตได้อย่างเดียว ห้ามมองเห็นอุปกรณ์อื่นในองค์กร
• VLAN 60 - IoT & CCTV (10.10.60.0/24): สำหรับกล้องวงจรปิด เครื่องสแกนนิ้ว และอุปกรณ์ Smart Office ต่างๆ

การกำหนด Firewall Policy ควบคุมการรับส่งข้อมูลระหว่าง VLAN

การแบ่ง VLAN อย่างเดียวยังไม่พอครับ เพราะหาก Router หรือ Firewall ของเราเปิด Inter-VLAN Routing ไว้ตามค่าเริ่มต้น ทุก VLAN ก็ยังคุยกันได้อยู่ดี สิ่งสำคัญคือการเขียน Firewall Rule หรือ Access Control List (ACL) เพื่อควบคุมสิทธิ์

1. กฎการกักบริเวณ Guest WiFi และ IoT

Guest WiFi และอุปกรณ์ IoT ต้องถูกตั้งค่า Block Inter-VLAN Traffic ทั้งหมด โดยอนุญาตให้ Traffic วิ่งออก Outgoing Interface ที่เป็น WAN (Internet) ได้เท่านั้น เพื่อป้องกันไม่ให้ผู้มาติดต่อแอบ Scan เครือข่ายภายใน

2. กฎการเข้าถึง Server Zone (VLAN 40)

ไม่ใช่ทุกคนที่ต้องเข้าถึง Server ได้ ผมจะตั้งค่ากำหนดให้เฉพาะ VLAN 20 (Staff) เข้าถึงได้เฉพาะ Port ที่จำเป็น เช่น HTTP/HTTPS (80, 443) หรือ File Sharing (445) ส่วนการบริหารจัดการ Server ผ่าน SSH (Port 22) หรือ RDP (Port 3389) จะยอมให้เฉพาะ VLAN 10 (Management) เท่านั้น

3. การป้องกันความคุ้มกันให้ VLAN 30 (Finance & HR)

สร้างกฎ Drop Traffic ทั้งหมดที่วิ่งมาจาก VLAN อื่นๆ เข้าหา VLAN 30 เว้นเสียแต่ว่าเป็น Session ที่ฝั่ง Finance เป็นผู้เริ่มต้นร้องขอออกไปก่อน (Established, Related State) วิธีนี้ช่วยป้องกันไม่ให้เครื่องพนักงานทั่วไปแอบเชื่อมต่อเข้ามายังเครื่องของฝ่ายบัญชีได้

อุปกรณ์ที่จำเป็นสำหรับการจัดทำระบบให้เสถียรและปลอดภัย

ในการออกแบบระบบเครือข่ายสำนักงานขนาดใหญ่ ฮาร์ดแวร์คือหัวใจสำคัญ ผมแนะนำเลือกรุ่นที่รองรับ throughput สูงเพียงพอต่อภาระงาน:

• Border Firewall / Router: ควรเลือกอุปกรณ์อย่าง MikroTik CCR Series หรือ Enterprise Firewall ที่มี Hardware Offloading เพื่อประมวลผล Routing และ Firewall Rules หลักร้อยข้อได้โดย Latency ไม่ตก
• Core Switch (Layer 3 Switch): ทำหน้าที่ประมวลผล Inter-VLAN Routing ภายใน เพื่อลดภาระของ Firewall หลัก ควรมีพอร์ต Uplink 10Gbps (SFP+) สื่อสารระหว่างตู้ Rack
• Access Switch (Layer 2+ Managed Switch): เลือกสวิตช์ที่รองรับ 802.1Q VLAN Tagging, Dynamic VLAN และมี PoE+ สำหรับจ่ายไฟให้อุปกรณ์ Access Point และกล้อง CCTV

คำแนะนำจากประสบการณ์จริงในการวางระบบ

จากที่ผมเคยปรับปรุงเครือข่ายให้ออฟฟิศหลายสิบแห่ง สิ่งที่ควรรอบคอบไม่ใช่แค่การตั้งค่า แต่คือการรับมือตอนย้ายระบบครับ คำแนะนำของผมคืออย่าเพิ่งรื้อระบบเดิมในวันทำงาน ให้จัดเตรียม VLAN Config บน Core Switch และ Router ไว้ล่วงหน้า ทดสอบใน Lab ให้เรียบร้อย แล้วนัดย้าย Cut-over ในช่วงวันหยุดเสาร์-อาทิตย์ พร้อมทำ Network Diagram แจกแจง VLAN ID และ IP Scheme ไว้ให้ชัดเจน เพื่อให้ทีม IT ซัพพอร์ตงานได้อย่างราบรื่นที่สุดครับ