วิธีออกแบบ VLAN แยกเครือข่าย WiFi พนักงานและลูกค้า เพิ่ม Security

เกือบ 75% ของเคสที่ผมเข้าไปแก้ปัญหาระบบ Network ให้กับออฟฟิศและธุรกิจ SME มักจะเจอต้นเหตุเดียวกันครับ นั่นคือการปล่อยให้พนักงาน ลูกค้าที่มาติดต่อ และอุปกรณ์ IoT อย่างกล้องวงจรปิด ยืนอยู่บน IP Subnet วงเดียวกันทั้งหมด เพียงเพราะความสะดวกในการติดตั้งในวันแรก

ผลลัพธ์ที่ตามมาคืออะไรรู้ไหมครับ? แฮกเกอร์ หรือแค่โน้ตบุ๊กติดไวรัสของลูกค้าที่เข้ามาขอรหัส WiFi ไปนั่งทำงาน ก็สามารถมองเห็น Shared Folder ของแผนกบัญชี เห็น Network Attached Storage (NAS) หรือแม้แต่ส่งคำสั่งพิมพ์งานออกเครื่อง Printer กลางออฟฟิศได้ทันที บทความนี้ผมเลยอยากนำประสบการณ์จริงจากการวางระบบให้ลูกค้าของ SIAM-LOGIN มาสรุปเป็นแนวทางการออกแบบ VLAN แยกเครือข่าย WiFi ที่ปลอดภัยและใช้งานได้จริงครับ

ทำไมการปล่อยให้ Guest และ Staff อยู่บน LAN วงเดียวกันถึงอันตราย?

เวลาที่เราให้ Guest หรือลูกค้านั่งใช้ WiFi วงเดียวกับพนักงาน อุปกรณ์ทุกเครื่องจะอยู่ใน Broadcast Domain เดียวกัน ซึ่งเปิดช่องโหว่ทางความปลอดภัยที่ร้ายแรงหลายด้าน ดังนี้ครับ

• เสี่ยงต่อการถูกแฮกข้อมูล (ARP Spoofing / Man-in-the-Middle): ผู้ไม่หวังดีสามารถใช้ซอฟต์แวร์ดักจับแพ็กเกจข้อมูลที่วิ่งอยู่ในวง LAN เดียวกันได้ง่ายมาก
• การแพร่กระจายของ Ransomware: หากเครื่องลูกค้านำมัลแวร์เข้ามา มัลแวร์จะสแกนหา Port 445 (SMB) ของเครื่องพนักงานและ Server ภายในเพื่อแพร่กระจายทันที
• Broadcast Storm ดึงประสิทธิภาพเครือข่าย: เมื่อเครื่องลูกข่ายจำนวนมากส่งสัญญาณ Broadcast หาอุปกรณ์รอบข้าง จะทำให้ Wi-Fi Access Point ช้าลงอย่างเห็นได้ชัด

หลักการวาง Network Segmentation ด้วย VLAN 3 วงพื้นฐาน

จากประสบการณ์ของผม สำหรับสำนักงานขนาดเล็กถึงขนาดกลาง การแบ่งวง VLAN ที่ดีไม่จำเป็นต้องซับซ้อนจนดูแลยากครับ ผมแนะนำให้เริ่มต้นด้วยโครงสร้าง 3 วงหลักเพื่อทำ Network Segmentation ดังนี้

1. Corporate / Staff Network (VLAN 10)

วงนี้สำหรับอุปกรณ์ของบริษัทและพนักงานเท่านั้น เช่น คอมพิวเตอร์แล็ปท็อป เครื่องพิมพ์ IP Phone และ File Server กำหนด Subnet เป็น 192.168.10.0/24 ให้สิทธิ์เข้าถึงทรัพยากรภายในได้ทั้งหมด แต่ต้องล็อก Mac Address หรือใช้ 802.1X ในการยืนยันตัวตน

2. Guest / Hotspot Network (VLAN 20)

วงสำหรับผู้มาติดต่อหรือลูกค้าที่ต้องการใช้งานอินเทอร์เน็ต กำหนด Subnet เป็น 192.168.20.0/24 วงนี้ต้องถูกทำ Guest WiFi Isolation อย่างเด็ดขาด อุปกรณ์ที่ต่อวงนี้จะออกได้เฉพาะ Internet Gateway เท่านั้น ไม่สามารถสื่อสารหาอุปกรณ์อื่นใน VLAN เดียวกัน หรือข้ามไป VLAN 10 ได้เลย

3. Management & IoT Network (VLAN 30)

วงสำหรับอุปกรณ์โครงสร้างพื้นฐาน เช่น Router, Managed Switch, Wi-Fi Access Point, IP Camera และ Access Control กำหนด Subnet เป็น 192.168.30.0/24 อนุญาตให้เฉพาะ IP เครื่องของแอดมินฝ่าย IT เข้ามาจัดการได้เท่านั้น

3 ขั้นตอนการคอนฟิก Tagging และ SSID Mapping

การจะทำให้เทคนิคการออกแบบ VLAN แยกเครือข่าย WiFi ทำงานได้สมบูรณ์ อุปกรณ์เน็ตเวิร์กทั้ง Router, Core Switch และ Access Point จะต้องทำงานสอดประสานกันผ่านมาตรฐาน 802.1Q ครับ

ขั้นตอนที่ 1: การตั้งค่า VLAN Tagging บน Switch

สร้าง VLAN ID 10, 20 และ 30 บน Managed Switch จากนั้นกำหนดพอร์ตที่ต่อเข้ากับ Wi-Fi Access Point ให้เป็น Trunk Port (หรือ Tagged Port) เพื่อยอมให้ Traffic ของทุก VLAN วิ่งผ่านสายแลนเส้นเดียวไปหา Access Point ได้โดยใช้เทคนิค VLAN Tagging

ขั้นตอนที่ 2: การผูก SSID เข้ากับ VLAN (Access Point SSID Mapping)

ที่ตัว Access Point หรือ Wi-Fi Controller ให้เราสร้าง SSID ขึ้นมา 2 ชื่อและทำการ Map ค่าเข้ากับ VLAN ID ดังนี้

• SSID: Company-Internal ผูกเข้ากับ VLAN 10 (เข้ารหัส WPA3-Enterprise หรือ WPA2-Personal)
• SSID: Company-Guest ผูกเข้ากับ VLAN 20 (กำหนดให้เป็น Captive Portal หรือ WPA2-Personal)

ขั้นตอนที่ 3: กำหนด Firewall Inter-VLAN Routing บน Router

ต่อให้เราแยก VLAN บน Layer 2 แล้ว แต่ถ้า Router ของเรายอมให้ส่งข้อมูลข้ามวง Layer 3 โดยไม่ตั้งค่าความปลอดภัย Security Policy ทุกอย่างก็ไร้ความหมายครับ การทำ Firewall Inter-VLAN Routing บน MikroTik หรือ Firewall แบรนด์อื่นๆ เราต้องเขียนกฎล็อกไว้ดังนี้

• Rule 1 (Drop Guest to Staff): Action = Drop, Src. Address = 192.168.20.0/24, Dst. Address = 192.168.10.0/24
• Rule 2 (Drop Guest to Management): Action = Drop, Src. Address = 192.168.20.0/24, Dst. Address = 192.168.30.0/24
• Rule 3 (Allow Guest to Internet): Action = Accept, Src. Address = 192.168.20.0/24, Out. Interface = WAN

คำแนะนำจากประสบการณ์หน้างาน SIAM-LOGIN

สิ่งหนึ่งที่ผมมักจะเตือนทีมงานและลูกค้าเสมอคือ อย่าลืมเปิดฟังก์ชัน Client Isolation (หรือ AP Isolation) บนตัว Access Point ด้วยครับ เพราะบางครั้งแม้เราจะบล็อกไม่ให้ Guest ข้ามไปหา Staff (VLAN 10) ได้แล้ว แต่ถ้าไม่ได้เปิด Client Isolation ที่ตัว AP เครื่องลูกค้านาย A ก็ยังสามารถมองเห็นหรือสแกนพอร์ตเครื่องลูกค้านาย B ที่เกาะ WiFi ชื่อเดียวกัน (VLAN 20) อยู่ดี

การลงทุนออกแบบ VLAN แยกเครือข่าย WiFi ตั้งแต่วันนี้ ไม่ใช่เรื่องไกลตัวอีกต่อไปครับ แต่มันคือการสร้างเกราะป้องกันข้อมูลสำคัญขององค์กร เสริมความปลอดภัยเครือข่ายขั้นสูงสุด และช่วยประหยัดงบประมาณในการกู้คืนระบบจากการโดน Ransomware ได้มหาศาลหากเกิดเหตุไม่คาดคิดขึ้น