วิธีตั้งค่า Site-to-Site IPsec VPN เชื่อม MikroTik และ FortiGate

เที่ยงคืนวันเสาร์ ฝ่ายบัญชีโทรมาหาผมด้วยน้ำเสียงลนลาน บอกว่าโปรแกรม ERP ที่สาขาชลบุรีดึงข้อมูลจาก Server สำนักงานใหญ่ที่กรุงเทพฯ ไม่ได้ ส่งผลให้คลังสินค้าแพ็คของส่งลูกค้าช่วงสุดสัปดาห์สะดุดทันที พอมุดเข้าไปดูในระบบก็พบว่า VPN หลุดไปเรียบร้อย เหตุการณ์นี้เกิดขึ้นเมื่อหลายปีก่อน สมัยที่ผมเริ่มเซ็ตระบบให้ลูกค้าใหม่ๆ ตอนนั้นที่สำนักงานใหญ่ใช้ FortiGate เป็นหลัก ส่วนสาขาย่อยเน้นคุมงบเลยใช้ MikroTik RouterBOARD

การจับคู่ชกระหว่าง MikroTik และ FortiGate ในการทำ Site-to-Site IPsec VPN ถือเป็นโจทย์ยอดฮิตของ SME ไทยครับ เพราะฝั่งสำนักงานใหญ่ต้องการ Security ระดับ Enterprise ส่วนฝั่งสาขาต้องการอุปกรณ์อึด ทน ลุย และประหยัดงบ แต่ปัญหาคือถ้าตั้งค่า Parameter แค่ตัวเดียวไม่ตรงกัน ทันเนลก็ไม่ยอมเชื่อมต่อแล้ว จากประสบการณ์ของผมที่ SIAM-LOGIN บทความนี้ผมจะพามาดูขั้นตอนอย่างละเอียดทีละ Step ครับ

เตรียมความพร้อมก่อนเริ่มตั้งค่า IPsec Tunnel

ก่อนจะจรดนิ้วลง Winbox หรือ FortiGate Web GUI สิ่งสำคัญที่สุดคือการวางแผน IP Addressing และตกลงพารามิเตอร์ของทั้งสองฝั่งให้ตรงกัน 100% ถ้าตรงนี้ผิด ย้อนกลับมาแก้ทีหลังจะเสียเวลามากครับ

• Public IP: ทั้งสองฝั่งควรมี Static Public IP หากฝั่ง MikroTik เป็น Dynamic IP (เช่น PPPoE) ต้องตั้งค่า DDNS (Cloud ของ MikroTik) และปรับการระบุ Local/Remote ID ให้ถูกต้อง
• Local Subnet ไม่ซ้ำกัน: สำนักงานใหญ่ FortiGate ต้องใช้ IP Subnet คนละวงกับสาขา MikroTik เช่น กรุงเทพฯ ใช้ 192.168.10.0/24 ส่วนชลบุรีใช้ 192.168.20.0/24 ห้ามชนกันเด็ดขาด หากเกิดกรณี Subnet overlap จำเป็นต้องทำ Virtual IP หรือ NAT เพิ่มเติม
• Pre-Shared Key (PSK): รหัสผ่านลับที่ใช้ร่วมกัน แนะนำให้ตั้งยาวเกิน 16 ตัวอักษร มีทั้งตัวพิมพ์เล็ก พิมพ์ใหญ่ ตัวเลข และสัญลักษณ์พิเศษ

ฝั่งที่ 1: การตั้งค่า Site-to-Site IPsec VPN บน FortiGate

ฝั่งสำนักงานใหญ่ที่ใช้ FortiGate เราจะเริ่มต้นสร้าง IPsec Tunnel ผ่าน IPsec Wizard หรือเขียนแบบ Manual Custom ก็ได้ แต่ผมแนะนำให้ใช้แบบ Custom เพื่อให้ปรับค่า Phase 1 และ Phase 2 ได้ตรงกับ MikroTik มากที่สุด

ขั้นตอน Phase 1 (IPsec Proposal & Peer Identity)

ไปที่เมนู VPN > IPsec Tunnels กด Create New แล้วเลือก Custom ตั้งชื่อทันเนล เช่น VPN-to-Branch-Chonburi

• IP Version: IPv4
• Remote Gateway: Static IP Address ใส่ Public IP ของ MikroTik สาขา
• Interface: เลือก WAN Interface ที่เชื่อมต่ออินเทอร์เน็ตอยู่ (เช่น wan1)
• Pre-Shared Key: ใส่รหัสผ่านลับที่เราเตรียมไว้
• IKE Version: เลือก IKEv2 (เสถียรกว่าและ Re-key ไวขึ้น)
• Phase 1 Proposals: เลือก Encryption เป็น AES256 และ Authentication เป็น SHA256, DH Group เลือก Group 14 (2048-bit)

ขั้นตอน Phase 2 และ Firewall Policy

ในส่วนของ Phase 2 Selector ให้ระบุ Local Subnet เป็น 192.168.10.0/24 และ Remote Subnet เป็น 192.168.20.0/24 ปรับ Proposals ให้ตรงกับ Phase 1 (AES256 / SHA256)

หลังจากสร้าง Tunnel เสร็จ อย่าลืมทำ 2 สิ่งนี้ ไม่งั้น Traffic จะวิ่งข้ามสาขาไม่ได้ครับ:

1. Static Route: สร้าง Routing โดยชี้ destination 192.168.20.0/24 ออกไปยัง Interface IPsec Tunnel ที่เพิ่งสร้าง
2. Firewall Policy: สร้าง Policy อนุญาต Traffic ขาไปและขากลับ (Inbound / Outbound) ระหว่าง LAN HQ และ IPsec Tunnel Interface โดยปิด NAT ออกไป

ฝั่งที่ 2: การตั้งค่า IPsec Tunnel บน MikroTik RouterBOARD

คราวนี้มาดูฝั่งสาขากันบ้าง ใน Winbox ของ MikroTik เมนู IPsec จะแยกส่วนประกอบชัดเจน เราต้องค่อยๆ ตั้งค่าตั้งแต่ IPsec Proposal, Peer, Identity ไปจนถึง IPsec Policy ครับ

1. สร้าง IPsec Proposal และ Peer

ไปที่เมนู IP > IPsec > Proposals สร้าง Proposal ใหม่ (เช่น prop-fortigate) เลือก Auth. Algorithms เป็น sha256 และ Encr. Algorithms เป็น aes-256-cbc เลือก PFS Group เป็น modp2048 (DH Group 14)

จากนั้นไปที่แท็บ Peers กดเพิ่ม Peer ใหม่:

• Address: ใส่ Public IP ของ FortiGate สำนักงานใหญ่
• Exchange Mode: เลือก ike2
• Profile: ใช้ Profile ที่ตั้ง Encryption/Hash ตรงกับ Phase 1 ของ FortiGate

2. สร้าง Identity และ IPsec Policy

ไปที่แท็บ Identities เพิ่มรายการใหม่ โดยเลือก Peer ที่สร้างเมื่อครู่ เลือก Auth. Method เป็น pre shared key แล้วใส่ Secret (PSK) ให้ตรงเป๊ะกับ FortiGate

ถัดมาไปที่แท็บ Policies สร้าง Policy ใหม่:

• Src. Address: 192.168.20.0/24 (วง LAN MikroTik)
• Dst. Address: 192.168.10.0/24 (วง LAN FortiGate)
• Action: เลือก encrypt, Level เลือก require, IPsec Protocol เลือก esp, Proposal เลือก prop-fortigate ที่สร้างไว้

จุดตกม้าตายที่ทำให้ IPsec VPN ไม่ขึ้น (และวิธีแก้จากประสบการณ์จริง)

ตลอดหลายปีที่ SIAM-LOGIN ให้บริการติดตั้ง Network Security ให้กับลูกค้าหลายร้อยแห่ง ปัญหาที่ทำให้ Site-to-Site IPsec VPN ระหว่างต่างยี่ห้อหลุดบ่อยหรือไม่ยอมดึงข้อมูล มักมาจาก 3 สาเหตุหลักนี้ครับ

1. ลืมทำ NAT Bypass บน MikroTik

อันนี้เจอบ่อยที่สุดครับ MikroTik มักจะมีกฎ action=masquerade บน IP Firewall NAT เพื่อออกเน็ต พอเครื่องฝั่งสาขาพยายามส่งข้อมูลไป 192.168.10.0/24 ข้อมูลกลับถูกเปลี่ยน Source IP กลายเป็น WAN IP ของ MikroTik ก่อน ทำให้ IPsec Policy จับ Traffic ไม่เจอ

วิธีแก้: เพิ่ม NAT Rule ไว้ลำดับบนสุด (Top Rule) ใน IP > Firewall > NAT:
Chain: srcnat | Src. Address: 192.168.20.0/24 | Dst. Address: 192.168.10.0/24 | Action: accept (ไม่ทำ Masquerade)

2. Phase 2 Life Time ไม่ตรงกัน

FortiGate ค่าเริ่มต้นของ Phase 2 Expiry เวลาจะค่อนข้างยาว ในขณะที่ MikroTik บางเวอร์ชันมีค่า Expiry Time ต่างกัน เมื่อครบรอบการ Re-key สัญญาณทันเนลอาจทลายและไม่ยอมสร้างใหม่โดยอัตโนมัติ แนะนำให้กำหนดเวลา Life Time ทั้งสองฝั่งให้เท่ากัน เช่น 28800 วินาที (8 ชั่วโมง)

3. Firewall Filter Block ข้อมูล

อย่าลืมตรวจสอบใน IP > Firewall > Filter Rules ของ MikroTik ด้วยว่ามี Rule ไหนที่ไป Block ICMP หรือ Traffic ที่วิ่งมาจาก Remote Subnet หรือเปล่า แนะนำให้สร้าง Rule Accept Traffic ระหว่าง 192.168.10.0/24 และ 192.168.20.0/24 ไว้ด้านบนสุดของ Filter Rules เสมอ

สรุป: เสถียรภาพเริ่มต้นจาก Setup ที่ถูกต้อง

การเชื่อมต่อ Site-to-Site IPsec VPN บน MikroTik และ FortiGate แม้จะเป็นอุปกรณ์คนละยี่ห้อ คนละระบบปฏิบัติการ แต่ด้วยมาตรฐานกลางของโปรโตคอล IPsec หากเราจับคู่พารามิเตอร์ Encryption, Hashing, DH Group และ Subnet Routing ได้ถูกต้อง ทันเนลจะทำงานได้อย่างเสถียร รองรับการส่งข้อมูล ERP, Database หรือไฟล์ข้ามสาขาได้ราบรื่นเหมือนอยู่วง LAN เดียวกันครับ

หากองค์กรของคุณกำลังวางระบบเชื่อมต่อข้ามสาขา แล้วเจอติดปัญหาทันเนลหลุด บิดค่า Phase 1 Phase 2 ไม่ลงตัว หรือต้องการออกแบบ Network Infrastructure ที่ปลอดภัยได้มาตรฐานสากล ทีมงาน SIAM-LOGIN พร้อมให้คำปรึกษาและเข้าดูแลระบบแบบครบวงจรครับ