วิธีวางระบบ VLAN แยก Guest WiFi ออกจากออฟฟิศ ป้องกันไวรัสลาม

บ่ายวันพุธสัปดาห์ที่แล้ว ผมได้รับสายด่วนจากลูกค้าบริษัทผู้ผลิตแห่งหนึ่ง น้ำเสียงเจ้าหน้าที่ฝ่ายไอทีปลายสายตื่นตระหนกอย่างเห็นได้ชัด เพราะเครื่อง NAS Server ที่เก็บแบบไฟล์การผลิตทั้งหมดถูกไวรัสเรียกค่าไถ่ล็อกไฟล์ พอผมวิ่งเข้าไปเช็ก Logs และวิเคราะห์เส้นทางการโจมตี จึงพบต้นเหตุที่น่าตกใจ: ซัพพลายเออร์ที่เข้ามาติดต่อติดตั้งเครื่องจักร ได้ขอรหัส WiFi ออฟฟิศเพื่อส่งเอกสาร แต่โน้ตบุ๊กของเขามีมัลแวร์ฝังอยู่แล้ว และเนื่องจากเครือข่ายออฟฟิศไม่ได้แยกวง Network ไว้ มัลแวร์จึงสแกนเจอ NAS Server ในวงเดียวกันแล้วเข้าโจมตีทันที

เหตุการณ์แบบนี้ไม่ใช่เรื่องใหม่ แต่เป็นช่องโหว่คลาสสิกที่เกิดขึ้นซ้ำแล้วซ้ำเล่าในหลายบริษัท การให้ผู้มาติดต่อใช้น้ำเปล่าชงกาแฟในออฟฟิศยังไม่น่ากลัวเท่าการปล่อยให้แขกใช้งาน Network วงเดียวกับระบบบัญชีหรือเซิร์ฟเวอร์หลักครับ บทความนี้ผมเลยอยากนำประสบการณ์ตรงจากการวางระบบให้ลูกค้า SIAM-LOGIN มาสรุปขั้นตอนการ วางระบบ VLAN เพื่อแยก Guest WiFi ออกจากระบบภายในองค์กรอย่างเด็ดขาด

ทำไมแค่ตั้งรหัสผ่าน WiFi ถึงไม่เพียงพออีกต่อไป

หลายองค์กรมักเข้าใจผิดว่า แค่ตั้งชื่อ Wi-Fi เพิ่มอีกชื่อหนึ่ง (SSID) เช่น 'Company_Guest' แล้วใส่รหัสผ่านแยกไว้ก็น่าจะปลอดภัยแล้ว แต่ในความเป็นจริง หากหลังบ้านของ Access Point ตัวนั้นยังเสียบลงบน Switch ตัวเดียวกัน และแจก IP Subnet ชุดเดียวกันกับคอมพิวเตอร์พนักงาน นั่นแปลว่าอุปกรณ์ของแขกทุกคนสามารถพยายามเชื่อมต่อ (Ping หรือ Port Scan) มายังเครื่องพนักงาน เครื่องพิมพ์ หรือไฟล์เซิร์ฟเวอร์ในออฟฟิศได้โดยตรง

แนวคิดทางด้าน Network Security สมัยใหม่จึงต้องใช้เทคนิคที่เรียกว่า Network Segmentation หรือการสับย่อยเครือข่ายออกเป็นส่วนๆ เพื่อจำกัดวงความเสียหาย (Blast Radius) หากเครื่องผู้มาติดต่อติดไวรัส ไวรัสนั้นก็จะถูกขังอยู่แค่ในวง Guest ไม่สามารถแพร่กระจายข้ามมายังวง Network หลักของบริษัทได้เลย

รู้จัก VLAN: กำแพงล่องหนบน Layer 2

เทคโนโลยีที่เข้ามาตอบโจทย์นี้คือ VLAN (Virtual Local Area Network) ซึ่งเปรียบเสมือนการสร้างสวิตช์เสมือนหลายๆ ตัวให้อยู่บนอุปกรณ์ฮาร์ดแวร์ชิ้นเดียวกัน โดยการติดแท็ก (Tagging) หมายเลข header พิเศษตามมาตรฐาน IEEE 802.1Q เข้าไปใน Data Packet

ตัวอย่างการแบ่งวง Network ที่ผมมักแนะนำให้อุปกรณ์ในออฟฟิศใช้งาน ได้แก่:

• VLAN 10 (Internal Office): สำหรับคอมพิวเตอร์พนักงาน, NAS Server, Printer (เช่น IP: 192.168.10.0/24)
• VLAN 20 (Guest WiFi): สำหรับผู้มาติดต่อ, ลูกค้า (เช่น IP: 192.168.20.0/24)
• VLAN 30 (IoT & CCTV): สำหรับกล้องวงจรปิด และอุปกรณ์อัจฉริยะต่างๆ (เช่น IP: 192.168.30.0/24)

4 ขั้นตอนการวางระบบ VLAN แยก Guest WiFi ปฏิบัติได้จริง

1. วางโครงสร้าง IP Subnet และ Tagging Plan

เริ่มต้นจากการวางแผนเลข VLAN ID และ IP Address ให้ชัดเจนเสียก่อน อย่าตั้งค่าสะเปะสะปะ ตัวอย่างเช่น กำหนดให้ VLAN 20 เป็นวง Guest WiFi วงนี้จะถูกจำกัดสิทธิ์ให้วิ่งออกอินเทอร์เน็ตได้อย่างเดียวเท่านั้น ไม่สามารถวิ่งข้ามไปยัง VLAN 10 หรือ VLAN อื่นๆ ได้เลย

2. คอนฟิก Port บน Managed Switch (Trunk & Access Port)

อุปกรณ์ Core Switch หรือ PoE Switch ที่ใช้ต้องรองรับ 802.1Q VLAN โดยเราจะทำการแบ่งประเภท Port ดังนี้:

• Trunk Port: กำหนดให้กับพอร์ตที่เชื่อมต่อระหว่าง Router ไป Switch และจาก Switch ไปยัง Access Point พอร์ตนี้จะยอมให้ข้อมูลของทุก VLAN (ทั้ง VLAN 10 และ 20) วิ่งผ่านไปพร้อมกันโดยมี Tag กำกับ
• Access Port: กำหนดให้กับพอร์ตที่ต่อตรงเข้าคอมพิวเตอร์หรือเครื่องพิมพ์พนักงาน โดยระบุให้พอร์ตนั้นๆ ทำงานอยู่เฉพาะ VLAN 10 (Untagged) เท่านั้น

3. ตั้งค่า Multi-SSID และ VLAN Mapping บน Access Point

ที่ฝั่ง Access Point องค์กร ให้สร้าง SSID ขึ้นมาอย่างน้อย 2 ชื่อ:

• SSID: Corporate_Internal -> ผูกเข้ากับ VLAN 10 (เน้นความเร็วและสิทธิ์การเข้าถึงข้อมูล internal)
• SSID: SIAM-LOGIN_Guest -> ผูกเข้ากับ VLAN 20 (สำหรับผู้มาติดต่อ)

เมื่อผู้ใช้งานเชื่อมต่อ SSID ไหน ตัว Access Point จะทำการติด Tag VLAN นั้นๆ ส่งต่อผ่าน Trunk Port กลับมายัง Switch และ Router ทันที

4. เขียน Firewall Rules บน Router เพื่อบล็อกการสื่อสารข้ามวง

นี่คือขั้นตอนที่สำคัญที่สุดครับ หากเราใช้ Router ประสิทธิภาพสูง เช่น MikroTik หรือ Enterprise Firewall ค่าเริ่มต้นบางยี่ห้ออาจยอมให้ Inter-VLAN Routing ทำงานอัตโนมัติ เราจึงต้องเขียน Firewall Rules เพื่อสั่งดักไว้ ดังนี้:

• Rule 1 (Allow Internet): อนุญาตให้ VLAN 20 (Guest) วิ่งออกพอร์ต WAN (Internet) ได้
• Rule 2 (Drop Inter-VLAN): ตั้งค่า Drop/Deny Traffic ทั้งหมดที่มี Source จาก VLAN 20 และมี Destination ไปยัง VLAN 10 (Internal Network)
• Rule 3 (Client Isolation): เปิดใช้งานฟีเจอร์ Client Isolation บน Access Point ในวง Guest เพื่อไม่ให้แขกที่ต่อ WiFi วงเดียวกันสามารถแอบสแกนหรือโจมตีกันเองได้

ข้อควรระวังจากประสบการณ์จริงของ SIAM-LOGIN

จากประสบการณ์ที่ผมไปไล่แก้ระบบให้ลูกค้าหลายแห่ง จุดตกหลุมพรางที่พบบ่อยที่สุดมีอยู่ 2 เรื่องครับ:

เรื่องแรกคือ การลืมทำ Client Isolation บน Access Point แม้เราจะแยก VLAN 20 ออกจากวงออฟฟิศได้แล้ว แต่หากผู้มาติดต่อ 2 คนต่อ WiFi ชื่อ Guest พร้อมกัน โน้ตบุ๊กของนาย A ก็ยังอาจจะมองเห็นและแฮกเครื่องของนาย B ได้อยู่ดี ดังนั้นต้องเปิดฟีเจอร์นี้เสมอเพื่อตัดการคุยกันเองภายใน SSID เดียวกัน

เรื่องที่สองคือ อุปกรณ์ Access Point เกรดบ้านไม่รองรับ VLAN Tagging บางออฟฟิศพยายามนำ Wi-Fi Router ตามบ้านมาเสียบต่อเพิ่ม ระบบพวกนี้จะไม่เข้าใจ VLAN Tag ทำให้ Packet หลุดหรือกลายเป็นวงเดียวกันหมด หากต้องการทำระบบ Guest WiFi ให้ปลอดภัยจริงๆ จำเป็นต้องใช้อุปกรณ์ระดับ Managed Switch และ Enterprise Access Point ที่รองรับ Multi-SSID Tagging ครับ

สรุป

การ วางระบบ VLAN เพื่อแยก Guest WiFi ไม่ใช่เรื่องไกลตัวหรือทำเพื่อความเท่ตามกระแสเทคโนโลยี แต่มันคือปราการด่านสำคัญในการปกป้องข้อมูลทางธุรกิจของคุณจากภัยคุกคามภายนอก การลงทุนตั้งค่า Network Segmentation ให้ถูกต้องตั้งแต่แรก ใช้เวลาน้อยกว่าและประหยัดงบประมาณกว่าการตามแก้ปัญหาตอนที่ข้อมูลบริษัทโดนแรนซอมแวร์ล็อก หรือเอกสารความลับรั่วไหลหลายเท่าครับ หากองค์กรของคุณกำลังมองหาการวางระบบเครือข่ายที่ปลอดภัย ได้มาตรฐาน SIAM-LOGIN พร้อมให้คำปรึกษาและออกแบบระบบที่เหมาะสมกับธุรกิจคุณเสมอครับ