วิธีตั้งค่า Radius Server บน MikroTik ร่วมกับ Authentik ทำ WiFi Hotspot

เที่ยงคืนวันอาทิตย์ก่อนเปิดภาคเรียนใหม่ ฝ่าย IT ของโรงเรียนแห่งหนึ่งโทรหาผมด้วยน้ำเสียงลนลาน เพราะนักเรียนและอาจารย์กว่า 500 คนกำลังจะเข้ามาใช้งาน WiFi Hotspot ในเช้าวันจันทร์ แต่ระบบเดิมที่บันทึกชื่อผู้ใช้ไว้บน MikroTik โดยตรงเกิดอาการอืด พาสเวิร์ดหลุด แถมแอดมินต้องคอยสร้าง User แมนนวลทีละคนจนรับไม่ไหว

คืนนั้นผมเลยต้องเข้าไปช่วยปรับสถาปัตยกรรมระบบใหม่ทั้งหมด โดยการย้ายศูนย์กลางการยืนยันตัวตนออกจากตัว Router แล้วต่อท่อตรงเข้ากับ Authentik ซึ่งเป็นระบบ Identity Provider (IdP) Open-source ที่ทรงพลังที่สุดตัวหนึ่งในปัจจุบัน ผ่านโปรโตคอลมาตรฐานอย่าง RADIUS วันนี้ผมเลยอยากนำประสบการณ์และขั้นตอนจริงในการตั้งค่า Radius Server บน MikroTik ร่วมกับ Authentik มาสรุปให้ทุกคนทำตามได้ง่ายๆ ครับ

ทำไมต้องย้ายจาก User Manager บน MikroTik มาใช้ Authentik?

หลายคนมักเริ่มต้นทำระบบ WiFi Hotspot ยืนยันตัวตน ด้วยการสร้าง User ไว้ใน User Manager หรือ Local Database ของ MikroTik เอง ซึ่งมันทำงานได้ดีสำหรับออฟฟิศขนาดเล็กที่มีคนไม่เกิน 20-30 คนครับ แต่เมื่อธุรกิจคุณโตขึ้น การเก็บข้อมูลผู้ใช้ไว้บน Router จะเริ่มสร้างปัญหาทันที

• ภาระของ CPU บน Router: ทุกครั้งที่มีคนล็อกอิน Captive Portal ตัว MikroTik ต้องเจียด CPU มาคำนวณการเข้ารหัสพาสเวิร์ด ทำให้เน็ตช้าลงโดยไม่จำเป็น
• ความซับซ้อนในการจัดการ: ถ้าคุณมี MikroTik 5 สาขา คุณต้องตามไปลบชื่อพนักงานออกทีละตัวทั้ง 5 เครื่องเมื่อมีคนลาออก
• ขาดการเชื่อมโยงกับระบบองค์กร: คุณไม่สามารถใช้พาสเวิร์ดเดียวกับ Google Workspace, Active Directory หรือ LDAP ของบริษัทได้

การเปลี่ยนมาใช้ Authentik ทำหน้าที่เป็น RADIUS Server จะช่วยแก้ปัญหานี้ได้แบบ 100% เพราะ Authentik จะรับหน้าที่เป็น User Database ศูนย์กลาง ส่วน MikroTik จะทำหน้าที่เป็นแค่ Gateway คอยส่งคำขอไปถาม Authentik เท่านั้น

ขั้นตอนที่ 1: ตั้งค่า Authentik ให้พร้อมเป็น RADIUS Server

ก่อนที่เราจะไปแตะ MikroTik เราต้องเตรียม Authentik ให้พร้อมเปิดรับการเชื่อมต่อจาก RADIUS Client เสียก่อน โดยใน Authentik เราจะใช้ฟีเจอร์ที่เรียกว่า RADIUS Provider และ Outpost ครับ

1.1 สร้าง RADIUS Provider ใน Authentik

ให้คุณเปิดหน้า Authentik Admin Interface แล้วเข้าไปที่ Applications > Providers จากนั้นกดสร้าง Provider ใหม่โดยเลือกประเภทเป็น RADIUS Provider

• Name: ตั้งชื่อตามต้องการ เช่น MikroTik-Hotspot-Provider
• Authorization Flow: เลือก Flow สำหรับยืนยันตัวตนมาตรฐานของระบบ
• Shared Secret: กำหนดรหัสผ่านลับที่จะใช้ยืนยันระหว่าง MikroTik กับ Authentik (เช่น SiamLoginSecretKey2026) *จุดนี้สำคัญมาก ต้องตรงกันทั้งสองฝั่ง*
• Client IP/Subnet: ใส่ IP Address ของ MikroTik หรือ CIDR Subnet ที่ MikroTik ฝั่งขาออกใช้งานอยู่

1.2 ผูก Provider เข้ากับ Outpost

ไปที่ Applications > Outposts แก้ไขตัว authentik Embedded Outpost หรือสร้าง Outpost ใหม่ขึ้นมา แล้วทำการติ๊กเลือก MikroTik-Hotspot-Provider ที่เราสร้างเมื่อครู่ใส่เข้าไป การทำแบบนี้จะทำให้ Authentik เปิดพอร์ต UDP 1812 (Authentication) และ UDP 1813 (Accounting) สำหรับรับส่งข้อมูล RADIUS ครับ

ขั้นตอนที่ 2: การตั้งค่า RADIUS Client บน MikroTik RouterOS

เมื่อฝั่ง Authentik พร้อมแล้ว ให้เราเข้า Winbox เพื่อทำการตั้งค่า Radius Server บน MikroTik โดยให้ RouterOS ส่งข้อมูลการเข้าใช้งานมาสอบถาม Authentik

2.1 เพิ่มการตั้งค่า RADIUS Server

เปิด Winbox ไปที่เมนู RADIUS ฝั่งซ้ายมือ กดปุ่มบวก (+) เพื่อเพิ่ม Server ใหม่

• Service: ติ๊กเลือก hotspot (และสามารถเลือก login หรือ wireless เพิ่มได้หากต้องการ)
• Address: ใส่ IP Address ของเครื่อง Authentik Server
• Secret: ใส่รหัสผ่านลับให้ตรงกับ Shared Secret ที่ตั้งไว้ใน Authentik
• Authentication Port: 1812
• Accounting Port: 1813
• Timeout: ปรับเป็น 3000 ms (3 วินาที) เพื่อป้องกันการไทม์เอาต์กรณี Network ระหว่างทางหน่วง

2.2 เปิดใช้งาน RADIUS ใน Hotspot Server Profile

จากนั้นไปที่เมนู IP > Hotspot > แท็บ Server Profiles แล้วดับเบิลคลิกที่ Profile ของ Hotspot ที่คุณใช้งานอยู่

ย้ายไปที่แท็บ RADIUS ให้ติ๊กถูกที่ช่อง Use RADIUS และติ๊กเลือก Accounting เพื่อให้ MikroTik ส่งข้อมูลเวลาใช้งาน ปริมาณ Data ของผู้ใช้กลับไปเก็บที่ Authentik ด้วยครับ

ข้อควรระวังจากการตกผลึกในงานติดตั้งจริง

จาก تجارب การเซ็ตระบบ WiFi Hotspot ยืนยันตัวตน ให้ลูกค้า SIAM-LOGIN มาหลายสิบไซท์ นี่คือ 3 จุดตายที่ทำให้หลายคนตกม้าตายครับ:

1. Firewall บล็อกพอร์ต UDP: ตรวจสอบให้แน่ใจว่าทั้ง Server OS (เช่น Ubuntu/Debian) ที่รัน Authentik และตัว Network Firewall ไม่ได้บล็อกพอร์ต UDP 1812 และ 1813
2. User Attribute ไม่ตรงกัน: ใน Authentik ต้องระบุ Property Mapping ให้ส่งค่า Username กลับมาตรงกับที่ Captive Portal ของ MikroTik ส่งไป
3. ไม่มีระบบ Fallback: หากเครื่อง Authentik ดับ หรือ Network ระหว่าง Router กับ Server ขาด ผู้ใช้จะไม่สามารถเข้า WiFi ได้เลย ถ้าเป็นออฟฟิศขนาดใหญ่ ผมแนะนำให้ทำ Authentik Outpost แบบ High Availability (HA) สำรองไว้ 2 เครื่องเสมอ

สรุป

การตั้งค่า Radius Server บน MikroTik ร่วมกับ Authentik ไม่ได้ยากอย่างที่คิดครับ มันช่วยยกระดับระบบ WiFi Hotspot ของคุณจากระดับบ้านๆ ขึ้นมาเป็นระดับองค์กรที่มีความปลอดภัยสูง บริหารจัดการง่ายจากศูนย์กลาง และที่สำคัญคือลดภาระการทำงานของ RouterOS ลงได้อย่างชัดเจน

หากคุณกำลังเจอปัญหาเรื่องระบบยุ่งยาก ผู้ใช้งานหลุดบ่อย หรือต้องการออกแบบระบบ Captive Portal ที่เชื่อมต่อกับฐานข้อมูลองค์กรเดิมที่มีอยู่ สามารถทักเข้ามาพูดคุยปรึกษากับผมและวิศวกรทีม SIAM-LOGIN ได้ตลอดเวลาครับ