วิธีตั้งค่า MikroTik เก็บ Log ตาม พ.ร.บ. คอมฯ 90 วัน สำหรับโรงแรม

มีอยู่วันหนึ่งช่วงสายๆ เจ้าของอพาร์ตเมนต์ลูกค้ารายเก่าโทรหาผมด้วยน้ำเสียงตื่นตระหนก เพราะมีเจ้าหน้าที่ตำรวจพร้อมหนังสือขอตรวจสอบข้อมูลจราจรทางคอมพิวเตอร์มาขอเปิดดู Log อินเทอร์เน็ตที่อาคาร เนื่องจากมีผู้ต้องสงสัยใช้ WiFi หอพักไปกระทำการฉ้อโกงออนไลน์ ทางเจ้าของตึกมั่นใจมากว่ามี MikroTik Router ตัวแรงตั้งอยู่ คิดว่าเก็บ Log ไว้เรียบร้อย แต่พอผมเข้าไปรีโมตเช็ก ดูหน้างานจริง ปรากฏว่าข้อมูลใน Log หายไปหมด เพราะอุปกรณ์เมมโมรีเต็มแล้วรีบูตตัวเองไปเมื่อ 3 วันก่อน เคสนั้นทำเอาเจ้าของธุรกิจปวดหัวไปหลายวัน และนั่นคือเหตุผลที่ผมต้องมาเขียนบทความนี้ครับ

หลายคนเข้าใจผิดว่า แค่ซื้อ MikroTik มาเสียบเน็ต เปิดระบบ Hotspot โรงแรม แล้วติ๊กเปิด Log ในตัวอุปกรณ์ก็ถือว่าทำถูกต้องตาม พ.ร.บ. คอมพิวเตอร์ แล้ว ซึ่งในความเป็นจริง แฟลชเมมโมรี (NAND) ของ MikroTik นั้นมีพื้นที่จำกัดมาก การเขียนข้อมูล Traffic ลงในตัวเครื่องโดยตรง นอกจากจะทำให้เมมโมรีเต็มอย่างเร็วแล้ว ยังทำให้ Flash Memory เสื่อมสภาพและพังอย่างรวดเร็วอีกด้วย

ทำไมต้องส่ง Log ออกไปเก็บที่ External Syslog Server?

ตามพระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ (ฉบับปรับปรุง) กำหนดให้ผู้ให้บริการอินเทอร์เน็ต รวมถึงโรงแรม อพาร์ตเมนต์ และร้านกาแฟ ต้องจัดเก็บข้อมูลจราจรทางคอมพิวเตอร์ (Traffic Log) ย้อนหลังไม่น้อยกว่า 90 วัน โดยต้องระบุตัวตนผู้ใช้งานได้ (Identity) คู่กับ IP Address, Port และ MAC Address รวมถึงเวลาเข้าใช้งาน (Timestamp) ที่ตรงกับเวลามาตรฐาน

การ เก็บ Log MikroTik ที่ถูกต้องตามหลักวิศวกรรมเครือข่าย จึงต้องตั้งค่าให้อุปกรณ์ส่งข้อมูลงวดการเชื่อมต่อ (Syslog) ผ่านโปรโตคอล UDP พอร์ต 514 ออกไปหา Syslog Server ภายนอก ไม่ว่าจะเป็น Linux Server, NAS หรือบริการ Cloud Log Dedicated เพื่อทำการบันทึกและทำ Hash File ป้องกันการดัดแปลงแก้ไขครับ

ขั้นตอนการตั้งค่า MikroTik เพื่อส่ง Log ย้อนหลัง 90 วัน

การตั้งค่าบน RouterOS เพื่อดึง Log การใช้งานอินเทอร์เน็ตของลูกบ้านหรือแขกในโรงแรม สามารถทำตามขั้นตอนหลักๆ ที่ผมสรุปมาให้จากประสบการณ์หน้างานจริงได้ดังนี้ครับ

1. ตั้งค่า System Time (NTP Client) ให้แม่นยำ

เรื่องนี้สำคัญที่สุดครับ Log ที่ไม่มี Timestamp ตรงกับเวลาจริง ไม่สามารถใช้เป็นหลักฐานทางกฎหมายได้ ให้ไปที่เมนู System > NTP Client แล้วเปิดใช้งาน (Enabled) ใส่ Server DNS Names เช่น pool.ntp.org หรือ th.pool.ntp.org พร้อมตั้งค่า Time Zone ในเมนู System > Clock ให้เป็น Asia/Bangkok เสมอ

2. สร้าง Logging Action ส่งออกไปยัง Syslog Server

เปิด Winbox แล้วเข้าไปที่เมนู System > Logging เลือกแท็บ Actions แล้วกดเพิ่ม (+) ตั้งค่าดังนี้:

• Name: ตั้งชื่อตามต้องการ เช่น syslog-server
• Type: เลือก remote
• Remote Address: ใส่ IP Address ของเครื่อง Log Server ที่เราเตรียมไว้ (เช่น 192.168.1.50)
• Remote Port: 514
• Syslog Facility: daemon หรือ syslog

3. กำหนด Rules บันทึกข้อมูล Traffic และ Authentication

ย้อนกลับมาที่แท็บ Rules ในหน้า System > Logging กดเพิ่ม (+) เพื่อเลือกหัวข้อที่ต้องการส่งไปเก็บที่ Log Server:

• Topic: เลือก hotspot, info หรือ account เพื่อเก็บข้อมูลการล็อกอินระบุตัวตนของผู้ใช้
• Action: เลือก syslog-server (ชื่อ Action ที่เราสร้างไว้ในข้อ 2)
• สร้าง Rule เพิ่มเติมสำหรับ Topic firewall หากต้องการเก็บรายละเอียดการเชื่อมต่อ IP Outbound

4. ตั้งค่า IP Firewall Filter เพื่อดักจับ Connection Log

หากต้องการเก็บ Firewall Log การออกอินเทอร์เน็ตของลูกบ้านทุกคน ให้ไปที่ IP > Firewall > Filter Rules กดเพิ่ม Rule ใหม่:

• Chain: forward
• Out. Interface List: เลือกขา WAN ออกอินเทอร์เน็ต
• Action: เลือก passthrough
• Log: ติ๊กถูก Yes
• Log Prefix: ใส่คำค้นหา เช่น NAT-LOG: เพื่อให้ค้นหาง่ายขึ้นใน Syslog Server

เทคนิคจัดการ Log ไม่ให้ดิสก์เต็ม และสอดคล้องตามกฎหมาย

หลังจากที่ MikroTik ส่ง Log ออกไปยังเซิร์ฟเวอร์แล้ว คำถามต่อมาที่ผมถูกถามบ่อยมากคือ "แล้วจะบริหารพื้นที่ดิสก์อย่างไรให้เก็บได้ครบ 90 วันพอดี?"

สำหรับโรงแรมขนาด 80-100 ห้อง Data Log ที่เกิดขึ้นต่อวันอาจสูงถึง 2-5 GB ขึ้นอยู่กับจำนวนอุปกรณ์ที่เชื่อมต่อ ดังนั้นในฝั่งของ Log Server ควรมีการตั้งค่า Logrotate ให้ทำ Zip Compress ไฟล์ Log รายวัน และทำการคำนวณค่า SHA-256 Checksum กำกับไว้ทุกวัน เพื่อยืนยันกับเจ้าหน้าที่ได้ว่าไฟล์ Log นั้นไม่เคยถูกเปิดแก้ไขเลยนับตั้งแต่วันที่บันทึกครับ

สรุปมุมมองจากวิศวกรเครือข่าย

การบริหารจัดการ ระบบ Hotspot อพาร์ตเมนต์ หรือโรงแรม ไม่ใช่แค่เรื่องการปล่อย WiFi ให้วิ่งเร็วอย่างเดียวครับ แต่ความคุ้มครองทางกฎหมายของเจ้าของสถานที่ก็สำคัญไม่แพ้กัน การตั้งค่า RouterOS ให้ทำ Remote Logging ถือเป็นปราการด่านแรกที่ช่วยให้คุณนอนหลับได้อย่างสบายใจ หากวันไหนมีหมายเรียกจากเจ้าหน้าที่ คุณแค่เปิดค้นหา Log ตามช่วงเวลา ยื่นหลักฐาน Hash Key ให้ตำรวจ แล้วให้กระบวนการทางกฎหมายจัดการต่อ โดยที่คุณไม่ต้องตกเป็นผู้ต้องสงสัยร่วมครับ