วิธีตั้งค่า Captive Portal ร่วมกับ RADIUS Server เพื่อทำระบบล็อกอินยืนยันตัวตน WiFi ในองค์กร

ในยุคที่การรักษาความปลอดภัยของข้อมูลองค์กรเป็นสิ่งสำคัญสูงสุด การปล่อยให้พนักงานหรือบุคคลภายนอกเข้าใช้งานเครือข่ายไร้สาย (WiFi) โดยไม่มีระบบยืนยันตัวตนที่เหมาะสม ถือเป็นความเสี่ยงอย่างยิ่ง การปรับใช้ Captive Portal ทำงานร่วมกับ RADIUS Server จึงเป็นแนวทางมาตรฐานทางวิศวกรรมเครือข่ายที่ช่วยให้องค์กรบริหารจัดการสิทธิ์ เข้าถึงเครือข่ายได้อย่างปลอดภัยและมีประสิทธิภาพ

Captive Portal และ RADIUS Server คืออะไร? ทำงานร่วมกันอย่างไร?

ก่อนลงมือตั้งค่า เรามาทำความเข้าใจบทบาทหน้าที่ของอุปกรณ์และโปรโตคอลหลักในระบบกันก่อน:

• Captive Portal: คือหน้าเว็บต้อนรับ (Landing Page) ที่ปรากฏขึ้นมาโดยอัตโนมัติเมื่อผู้ใช้นำอุปกรณ์มาเชื่อมต่อ WiFi ระบบจะกักขัง (Captive) Traffic การเข้าชมเว็บไว้จนกว่าผู้ใช้จะใส่ Username และ Password ได้ถูกต้อง
• NAS (Network Access Server): อุปกรณ์เครือข่าย เช่น MikroTik Router หรือ Wireless Controller ที่ทำหน้าที่ควบคุมการเข้าถึงอินเทอร์เน็ตและส่งข้อมูลการล็อกอินไปตรวจสอบ
• RADIUS Server: ย่อมาจาก Remote Authentication Dial-In User Service ทำหน้าที่ตามหลัก AAA (Authentication, Authorization, Accounting) โดยเป็นศูนย์กลางตรวจสอบรหัสผ่าน กำหนดสิทธิ์ความเร็ว (Bandwidth) และบันทึกเวลาการใช้งาน

ประโยชน์ของการรวม Captive Portal เข้ากับ RADIUS Server

การใช้เพียง Captive Portal แบบ Standalone บน Router อาจมีข้อจำกัดด้านความจุผู้ใช้งานและฐานข้อมูล การส่งต่อภาระตรวจสอบรหัสผ่านให้ RADIUS Server ช่วยสร้างข้อดีดังนี้:

• Centralized Database: จัดเก็บข้อมูลผู้ใช้งานไว้ที่จุดเดียว สามารถเชื่อมต่อกับ Active Directory (AD), LDAP หรือฐานข้อมูล SQL ได้
• Scalability: รองรับการขยายระบบ เชื่อมต่อกับ Access Point และ Router หลายสาขาได้โดยใช้ฐานข้อมูลชุดเดียวกัน
• Log Compliance: บันทึกประวัติการเข้าใช้งาน (RADIUS Accounting Logs) เพื่อปฏิบัติตาม พ.ร.บ. คอมพิวเตอร์
• Bandwidth & Policy Control: กำหนดความเร็ว Download/Upload, ระยะเวลาใช้งาน (Session-Timeout) แบบแยกรายบุคคลหรือกลุ่มผู้ใช้ได้

ขั้นตอนการตั้งค่า Captive Portal ร่วมกับ RADIUS Server

ทีมวิศวกร SIAM-LOGIN ได้สรุปขั้นตอนสำคัญในการเปิดใช้งานระบบล็อกอิน WiFi องค์กร ออกเป็น 4 ขั้นตอนหลัก ดังนี้

ขั้นตอนที่ 1: การเตรียมโครงสร้างเครือข่าย (Network Topology & VLANs)

เริ่มต้นด้วยการแยก Traffic ของเครือข่ายออกเป็นสัดส่วน โดยแนะนำให้สร้าง VLAN สำหรับ Guest WiFi หรือ Corporate WiFi แยกออกจาก VLAN ของระบบจัดการ (Management VLAN) เพื่อป้องกันการเข้าถึงอุปกรณ์เครือข่ายโดยไม่ได้รับอนุญาต

ขั้นตอนที่ 2: การตั้งค่า RADIUS Server (เช่น FreeRADIUS หรือ Windows NPS)

กำหนดค่าฝั่ง RADIUS Server เพื่อเปิดรับการร้องขอจาก NAS:

• Add NAS Client: ระบุ IP Address ของตัว Router หรือ Wireless Controller
• Define Shared Secret: กำหนดรหัสผ่านลับ (Secret Key) ที่ตรงกันระหว่าง NAS และ RADIUS Server
• Configure Authentication Methods: ตั้งค่าโปรโตคอลสำหรับการยืนยันตัวตน เช่น PAP หรือ MS-CHAPv2
• Create Users / Groups: สร้างบัญชีผู้ใช้ หรือเชื่อมต่อกับ Directory Service ขององค์กร

ขั้นตอนที่ 3: การตั้งค่า Captive Portal บน Router / Gateway (เช่น MikroTik RouterOS)

กำหนดค่าให้ Gateway ส่งผ่านการยืนยันตัวตนไปยัง RADIUS Server:

• สร้าง Hotspot Server บน Interface หรือ VLAN ที่ต้องการ
• เปิดใช้งานฟังก์ชัน RADIUS Authentication ใน Server Profile
• ระบุ IP Address ของ RADIUS Server, Shared Secret, Authentication Port (UDP 1812) และ Accounting Port (UDP 1813)
• ตั้งค่า Walled Garden สำหรับอนุญาตให้ผู้ใช้เข้าถึงโดเมนที่จำเป็นก่อนการล็อกอิน (เช่น หน้าเปลี่ยนรหัสผ่าน หรือเว็บองค์กร)

ขั้นตอนที่ 4: การทดสอบระบบและการบันทึก Log (Testing & Accounting Verification)

ทดสอบโดยนำสมาร์ตโฟนหรือโน้ตบุ๊กเชื่อมต่อ WiFi ระบบต้องแสดงหน้า Captive Portal ทันที ทดลองกรอก Username และ Password จากนั้นตรวจสอบสถานะใน RADIUS Accounting Log ว่ามีการส่งแพ็กเกจ Access-Accept และเริ่มนับเวลาการใช้งานถูกต้องหรือไม่

คำแนะนำด้านความปลอดภัยเพิ่มเติมจากวิศวกร SIAM-LOGIN

เพื่อให้ระบบ WiFi ขององค์กรมีเสถียรภาพและปลอดภัยสูงสุด ควรปรับใช้มาตรฐานเพิ่มเติม ได้แก่ การติดตั้ง SSL/TLS Certificate บนหน้า Captive Portal เพื่อเข้ารหัสข้อมูลรหัสผ่านที่ส่งผ่าน HTTPS การเปิดใช้งาน RADIUS Accounting เพื่อเก็บ IP Address และ MAC Address อย่างแม่นยำ รวมถึงการตั้งค่า Session-Timeout ป้องกันไม่ให้ค้าง Session ไว้ในระบบเมื่อผู้ใช้ไม่ได้ใช้งานจริง