สรุปขั้นตอนวางระบบ Radius Server ยืนยันตัวตน WiFi องค์กรให้ปลอดภัย

บริษัทโลจิสติกส์ขนาดใหญ่แห่งหนึ่งย่านบางนาที่ผมเข้าไปรีโนเวทระบบเครือข่ายเมื่อเดือนก่อน เจอปัญหาพนักงานแอบแจกรหัสผ่าน WiFi ของออฟฟิศให้ผู้รับเหมาภายนอก จนสายการผลิตสั่งงานผ่านระบบแท็บเล็ตเกิดอาการช้าหน่วง หนักที่สุดคืออดีตพนักงานที่ลาออกไปแล้วยังสามารถเชื่อมต่อสัญญาณ WiFi จากบริเวณลานจอดรถเพื่อเข้าถึงไฟล์งานสำคัญบน NAS ของบริษัทได้ เหตุการณ์นี้ทำให้ผู้บริหารตระหนักว่าการใช้รหัสผ่าน WiFi แบบ Share Key เดียวกันทั้งบริษัทนั้นเสี่ยงเกินไป และต้องการเปลี่ยนมาใช้ระบบยืนยันตัวตนรายบุคคลทันที

ทำไมการแชร์รหัสผ่าน WiFi แบบเดิม (PSK) ถึงเป็นภัยเงียบขององค์กร

หลายออฟฟิศมักเลือกใช้การตั้งรหัสผ่านแบบ Pre-Shared Key (PSK) หรือรหัสผ่านเดียวที่ใช้ร่วมกันทั้งบริษัท เพราะตั้งค่าง่าย ไม่ยุ่งยาก แต่ในมุมมองด้าน Network Security แล้ว นี่คือช่องโหว่ขนาดใหญ่ครับ เมื่อไหร่ก็ตามที่มีพนักงานลาออก คุณจำเป็นต้องเปลี่ยนรหัสผ่าน WiFi บนอุปกรณ์ของพนักงานทุกคนที่เหลืออยู่ ซึ่งในความเป็นจริงเกือบทุกองค์กรไม่ได้ทำ ส่งผลให้เกิดความเสี่ยงเรื่องข้อมูลรั่วไหล การเข้าถึงเครือข่ายโดยไม่ได้รับอนุญาต และไม่สามารถตรวจสอบได้เลยว่าผู้ใช้งานคนไหนทำอะไรผิดกฎหมายคอมพิวเตอร์

การแก้ปัญหาอย่างยั่งยืนและได้รับมาตรฐานความปลอดภัยระดับสากล คือการปรับมาใช้มาตรฐาน 802.1X ร่วมกับระบบ Radius Server ซึ่งจะเปลี่ยนรูปแบบการเชื่อมต่อให้เป็นการยืนยันตัวตนด้วย Username และ Password ของพนักงานแต่ละคน หรือใช้ Digital Certificate ในการตรวจสอบอุปกรณ์ครับ

4 ขั้นตอนสำคัญในการวางระบบ Radius Server สำหรับองค์กร

จากประสบการณ์การติดตั้งระบบเครือข่ายให้องค์กรต่างๆ ของผม การเซ็ตระบบ RADIUS ให้เสถียรและปลอดภัย มีลำดับขั้นตอนหลักที่ต้องดำเนินการดังนี้ครับ

ขั้นตอนที่ 1: จัดเตรียมฐานข้อมูลผู้ใช้งาน (Identity Provider)

ก่อนจะเริ่มสร้างเซิร์ฟเวอร์ RADIUS เราต้องมีฐานข้อมูลพนักงานที่แน่นอนเสียก่อน หากองค์กรของคุณใช้งาน Active Directory (AD) หรือ Domain Controller อยู่แล้ว สามารถดึงฐานข้อมูลนี้มาใช้งานร่วมกันได้ทันที แต่หากเป็นองค์กรขนาดเล็กที่ไม่มี AD เราสามารถใช้ระบบ FreeRADIUS ร่วมกับ OpenLDAP หรือสร้าง Local Database ขึ้นบน RADIUS Server โดยตรงได้เช่นกัน การรวบรวมรายชื่อผู้ใช้ไว้ที่จุดเดียวจะช่วยให้แผนก IT จัดการสิทธิ์การเข้าถึงได้อย่างง่ายดาย

ขั้นตอนที่ 2: ติดตั้งและตั้งค่า Radius Server พร้อมใบรับรองความปลอดภัย

ระบบ RADIUS ที่นิยมใช้ในปัจจุบันมีทั้ง Microsoft Network Policy Server (NPS) บน Windows Server และ FreeRADIUS บน Linux ซึ่งทั้งสองระบบทำหน้าที่เป็นตัวกลางในการตรวจสอบสิทธิ์ (Authentication) สิ่งสำคัญในขั้นตอนนี้คือการออกใบรับรองความปลอดภัย หรือ Certificate Authority (CA) เพื่อนำมาติดตั้งบน Radius Server สำหรับใช้งานโปรโตคอล EAP-TLS หรือ PEAP-MSCHAPv2 ซึ่งช่วยเข้ารหัสข้อมูลรหัสผ่านขณะส่งผ่านอากาศ ป้องกันการถูกดักจับข้อมูล (Eavesdropping) ได้อย่างสมบูรณ์

ขั้นตอนที่ 3: กำหนดค่า RADIUS Client บน Access Point และ Switch

เมื่อเซิร์ฟเวอร์พร้อมใช้งาน ขั้นตอนถัดมาคือการนำอุปกรณ์เครือข่าย ได้แก่ Access Point และ Network Switch มาลงทะเบียนเป็น RADIUS Client บนเซิร์ฟเวอร์ โดยระบุหมายเลข IP Address ของอุปกรณ์ พร้อมตั้งค่า Secret Key (รหัสผ่านเชื่อมต่อระหว่าง AP กับ RADIUS) ให้ตรงกัน จากนั้นเปลี่ยนโหมดความปลอดภัยของ SSID จากเดิม WPA2-Personal ไปเป็น WPA2/WPA3 Enterprise เพื่อให้อุปกรณ์กระจายสัญญาณส่งคำขอยืนยันตัวตนไปยังเซิร์ฟเวอร์ RADIUS ทุกครั้งที่มีคนขอเชื่อมต่อ

ขั้นตอนที่ 4: กระจาย Certificate และตั้งค่าการเชื่อมต่อบนอุปกรณ์ผู้ใช้

ขั้นตอนสุดท้ายคือการตั้งค่าอุปกรณ์ของพนักงาน (Client Devices) ทั้งโน้ตบุ๊ก สมาร์ทโฟน และแท็บเล็ต ในกรณีที่ใช้โปรโตคอล PEAP พนักงานเพียงแค่กรอก Username และ Password ของตนเอง ส่วนการใช้ EAP-TLS ที่มีความปลอดภัยสูงสุด IT จำเป็นต้อง Import ใบรับรอง Client Certificate ลงในเครื่องของพนักงานด้วย สำหรับองค์กรที่มีระบบ Group Policy (GPO) หรือ MDM (Mobile Device Management) สามารถกด Push การตั้งค่าเหล่านี้ไปยังเครื่องพนักงานทุกคนได้โดยอัตโนมัติ ทำให้ผู้ใช้ไม่ต้องตั้งค่าเองให้ยุ่งยาก

เทคนิคเสริมความปลอดภัยให้ระบบ RADIUS รัดกุมยิ่งขึ้น

นอกจากการยืนยันตัวตนเบื้องต้นแล้ว ผมมักจะแนะนำให้ลูกค้าเติมเทคนิคเหล่านี้เข้าไปเพื่อยกระดับความปลอดภัยให้ครอบคลุมครับ

• ทำ VLAN Segregation: ตั้งค่าให้ Radius Server ชี้ผู้ใช้งานไปยัง VLAN ที่ถูกต้อง เช่น เมื่อพนักงานฝ่ายบัญชีล็อกอิน จะได้รับ IP ใน VLAN บัญชีทันที ส่วนผู้บริหารล็อกอิน จะได้ VLAN แยกเฉพาะ ช่วยจำกัดขอบเขตการเข้าถึงข้อมูล
• เปิดใช้งาน MAC Authentication Bypass (MAB): สำหรับอุปกรณ์ที่ไม่รองรับ 802.1X เช่น เครื่องพิมพ์ไร้สาย หรือกล้องวงจรปิด เราสามารถใช้การตรวจสอบ MAC Address ผ่าน RADIUS แทนได้
• กำหนดเวลาใช้งานและอุปกรณ์จำกัด: สามารถตั้งค่าบน RADIUS ไม่ให้ล็อกอินนอกเวลาทำการ หรือจำกัดให้ 1 Username สามารถเชื่อมต่อได้เพียง 1 อุปกรณ์เท่านั้น

สรุป: การลงทุนทำ Radius Server คุ้มค่าแค่ไหน

การปรับเปลี่ยนมาใช้ระบบ Radius Server อาจดูมีขั้นตอนที่ซับซ้อนในตอนเริ่มต้น แต่เมื่อเทียบกับความปลอดภัยที่ได้รับ ความสะดวกของแผนก IT ที่สามารถตัดสิทธิ์พนักงานที่ลาออกได้ทันทีเพียงแค่คลิกเดียว รวมถึงความสามารถในการตรวจสอบ Log ย้อนหลังได้อย่างถูกต้องตามกฎหมาย ถือเป็นการลงทุนที่คุ้มค่าและจำเป็นอย่างยิ่งสำหรับองค์กรยุคใหม่ครับ หากคุณกำลังต้องการวางระบบ WiFi Hotspot หรือจัดทำระบบยืนยันตัวตนในองค์กร ทางทีมงาน SIAM-LOGIN พร้อมให้คำปรึกษาและออกแบบระบบที่เหมาะสมกับงบประมาณของคุณครับ