วิธีตั้งค่า MikroTik เก็บ Log ตาม พ.ร.บ. คอมพิวเตอร์ ย้อนหลัง 90 วัน

เช้าวันจันทร์วันหนึ่ง เวลาประมาณ 10 โมงครึ่ง เจ้าของอพาร์ตเมนต์ลูกค้ารายหนึ่งโทรหาผมด้วยน้ำเสียงตื่นตระหนก "คุณครับ มีตำรวจไซเบอร์ถือหนังสือมาขอข้อมูล IP Address และ Log การใช้งานอินเทอร์เน็ตที่หอพักย้อนหลัง เพราะมีคนร้ายแอบใช้ WiFi อาคารไปฉ้อโกงออนไลน์!" งานนี้ถ้าหอพักไม่มี Log หรือเก็บไว้ไม่ถูกต้องตามกฎหมาย พ.ร.บ. คอมพิวเตอร์ ย้อนหลัง 90 วัน เจ้าของอาคารอาจต้องตกเป็นผู้ต้องสงสัยหรือรับโทษปรับจำนวนมากโดยไม่รู้ตัว

จากประสบการณ์ที่ผมดูแลระบบ Network Infrastructure ให้กับอพาร์ตเมนต์และหอพักมาหลายร้อยแห่ง ปัญหาที่พบบ่อยที่สุดคือ เจ้าของอาคารเข้าใจผิดว่าแค่มี Router MikroTik เครื่องเดียวก็เก็บข้อมูลการใช้งานได้ครบแล้ว แต่ความจริงคือ RouterOS บนตัวอุปกรณ์มีหน่วยความจำ (RAM/Flash) จำกัดมาก ไม่สามารถบันทึกข้อมูลย้อนหลังได้ยาวนานถึง 90 วันหากไม่มีการตั้งค่าส่งข้อมูลออกไปยัง Log Server ภายนอก

ทำไม MikroTik ถึงเก็บ Log 90 วันบนตัวอุปกรณ์ตรงๆ ไม่ได้?

หลายคนพยายามกด Save Log ลงใน NAND Flash ของ MikroTik โดยตรง ซึ่งเป็นสิ่งที่ไม่ควรทำอย่างยิ่ง ด้วยเหตุผลสำคัญ 2 ประการ:

• หน่วยความจำเต็มเร็วมาก: ในอพาร์ตเมนต์ที่มีผู้ใช้งาน 50-100 ห้อง Traffic การออกอินเทอร์เน็ตจะสร้าง NAT Connection บันทึกนับล้านบรรทัดต่อวัน ซึ่งจะทำให้ Flash ความจุ 16MB หรือ 128MB เต็มภายในไม่กี่ชั่วโมง
• ทำให้อุปกรณ์พังเร็ว: การเขียนข้อมูลลง Storage ติดรถอย่าง NAND Flash ถี่ๆ ตลอด 24 ชั่วโมง จะทำให้ Flash Drive เสื่อมสภาพอย่างรวดเร็ว และ Router อาจสลบหรือบูตไม่ขึ้นในที่สุด

ดังนั้น โซลูชันมาตรฐานระดับมืออาชีพคือการใช้เทคนิค Remote Logging โดยให้ MikroTik ทำหน้าที่ดักจับข้อมูล (Firewall Logging) แล้วส่งผ่านโปรโตคอล Syslog ไปยัง Syslog Server หรือ Centralized Log Server ภายนอกเพื่อบันทึกข้อมูลลงฮาร์ดดิสก์ย้อนหลังอย่างน้อย 90 วัน

3 ขั้นตอนการตั้งค่า MikroTik เก็บ Log ตาม พ.ร.บ. คอมพิวเตอร์

ในการเซตระบบให้สมบูรณ์และได้ข้อมูลครบตามที่กฎหมายกำหนด (ระบุตัวตนได้ว่า ใคร ทำอะไร ที่ไหน เมื่อไหร่ ด้วย IP/MAC Address อะไร) ผมสรุปขั้นตอนปฏิบัติที่นำไปใช้ได้จริงดังนี้ครับ

ขั้นตอนที่ 1: สร้าง Logging Action กำหนด IP ของ Syslog Server

เริ่มแรกเราต้องบอก MikroTik ก่อนว่า ให้ส่งข้อมูลบันทึกไปที่เครื่องเซิร์ฟเวอร์ปลายทางเครื่องไหน โดยเข้าไปที่ WinBox แล้วทำตามนี้:

1. ไปที่เมนู System > Logging
2. คลิกแท็บ Actions แล้วกดเพิ่ม (+) เพื่อสร้าง Action ใหม่
3. ตั้งชื่อ Name เช่น syslog-server
4. เลือก Target เป็น remote
5. ช่อง Remote Address ให้ใส่ IP Address ของ Syslog Server (เช่น 192.168.1.200)
6. ช่อง Remote Port โดยทั่วไปใช้พอร์ตมาตรฐาน UDP 514
7. กด Apply และ OK

ขั้นตอนที่ 2: ตั้งค่า Firewall Rules สำหรับจับ NAT Logging

เพื่อให้ได้ข้อมูลการบันทึกจราจรทางคอมพิวเตอร์ที่สมบูรณ์ สิ่งสำคัญที่สุดคือการบันทึกการจับคู่ระหว่าง IP ภายใน (Private IP) กับ IP ขาออกอินเทอร์เน็ต (Public IP) พร้อม Port การเชื่อมต่อ

1. ไปที่เมนู IP > Firewall > แท็บ Filter Rules
2. กดเพิ่ม (+) สร้าง Rule ใหม่ใน Chain: forward
3. ในแท็บ Action ให้เลือก Action เป็น log
4. ติ๊กถูกที่ช่อง Log แล้วใส่ Log Prefix เช่น NAT-LOG: เพื่อให้แยกแยะหมวดหมู่ได้ง่าย
5. หรือหากต้องการจับเฉพาะสตรีม NAT Connection ให้ไปที่ IP > Firewall > NAT แล้วเปิดใช้งานการใส่ Log ในส่วนของ Masquerade / SRC-NAT Rule

ขั้นตอนที่ 3: เชื่อมโยง Logging Topic เข้ากับ Action ที่สร้างไว้

เมื่อกำหนดจุดส่งและสร้างเงื่อนไขดักจับเรียบร้อยแล้ว ขั้นตอนสุดท้ายคือสั่งให้ RouterOS Log นำข้อมูลเหล่านั้นส่งออกไปทันที

1. กลับไปที่เมนู System > Logging แท็บ Rules
2. กดเพิ่ม (+) สร้าง Rule ใหม่
3. ช่อง Topics ให้เลือก firewall (หรือ account สำหรับระบบ WiFi Hotspot)
4. ช่อง Action ให้เลือกชื่อ syslog-server ที่เราสร้างไว้ในขั้นตอนแรก
5. กด OK เป็นอันเสร็จสิ้นกระบวนการบน MikroTik

ข้อควรระวังและ Best Practices สำหรับระบบอินเทอร์เน็ตหอพัก

การ ตั้งค่า MikroTik เก็บ Log ไม่ใช่แค่การรันคำสั่งให้จบๆ ไป แต่ต้องคำนึงถึงความน่าเชื่อถือของข้อมูลยามเกิดคดีความจริงด้วยครับ นี่คือสิ่งที่ผมแนะนำลูกค้าร้านและหอพักเสมอ:

• ซิงค์เวลาด้วย NTP Server สำคัญที่สุด: หากเวลาบน MikroTik ไม่ตรงกับเวลาจริง ข้อมูล Log ทั้งหมดจะไม่สามารถใช้เป็นหลักฐานทางกฎหมายได้เลย ต้องเปิดใช้งาน System > NTP Client ให้ชี้ไปยัง time.navy.mi.th หรือ pool.ntp.org เสมอ
• ต้องมีระบบผูกตัวตน (Authentication): Log จาก MikroTik จะบอกเพียงว่า IP/MAC Address ไหนออกไปที่ไหน แต่กฎหมายต้องการทราบ "ตัวตนบุคคล" ด้วย ดังนั้น หอพักควรทำระบบ WiFi Hotspot หรือ PPPoE เพื่อจับคู่ Username กับ MAC Address เก็บไว้คู่กัน
• สำรองข้อมูล (Backup Log): ตัว Syslog Server ที่ใช้รับข้อมูล ควรมีการบีบอัดไฟล์และตั้งค่า Auto Backup ย้ายไปเก็บยัง NAS หรือ Cloud Storage ป้องกันกรณีฮาร์ดดิสก์เสีย

การทำระบบเน็ตหอพักให้ถูกต้องตาม พ.ร.บ. คอมพิวเตอร์ 90 วัน ไม่ใช่เรื่องยุ่งยากเกินไปครับ หากวางโครงสร้างระบบ Remote Logging ไว้อย่างถูกต้อง ตั้งแต่วันแรกที่คุณเปิดให้บริการ คุณก็จะนอนหลับได้อย่างสบายใจ ไม่ต้องคอยสะดุ้งตื่นเวลาเห็นเบอร์แปลกโทรเข้าตอนกลางดึกครับ