ออกแบบ Network โรงงานอย่างไรให้เสถียร รองรับ IoT และปลอดภัยด้วย VLAN

สายโทรศัพท์จากผู้จัดการฝ่าย IT ของโรงงานผลิตชิ้นส่วนยานยนต์แห่งหนึ่งดังขึ้นตอนสองทุ่มครึ่ง เสียงปลายสายตื่นตระหนกเล่าว่าไลน์การผลิตฝั่งแขนกลหุ่นยนต์หยุดทำงานทั้งระบบ เพราะเซิร์ฟเวอร์ควบคุมไม่สามารถสื่อสารกับ PLC ได้ เมื่อผมลงพื้นที่ไปตรวจสอบ ปรากฏว่าสาเหตุไม่ได้มาจากเครื่องจักรเสีย แต่เกิดจากกล้อง CCTV ตัวใหม่ที่เพิ่งติดเพิ่ม แอบส่งแพ็กเกจขยะหรือ Broadcast Storm ออกมากระจายเต็มเครือข่าย จน Access Switch ค้าง และพาไลน์ผลิตมูลค่าหลายล้านบาทหยุดชะงักไปเกือบ 3 ชั่วโมง

เหตุการณ์แบบนี้ไม่ใช่เรื่องใหม่ในวงการอุตสาหกรรมครับ จากประสบการณ์การทำระบบให้โรงงานหลายแห่งของผม พบว่าปัญหาใหญ่ที่สุดคือการใช้นโยบายเครือข่ายแบบเดิมที่ทุกอุปกรณ์เชื่อมต่ออยู่ในวงเดียวกันหมด ซึ่งเสี่ยงต่อความเสียหายอย่างมหันต์ บทความนี้ผมจึงอยากมาแชร์แนวทางการออกแบบระบบ Network โรงงานให้เสถียร ปลอดภัย และรองรับอุปกรณ์ IoT ได้อย่างยั่งยืนครับ

สาเหตุหลักที่ทำให้ระบบ Network โรงงานล่มโดยไม่รู้ตัว

โรงงานส่วนใหญ่มักเริ่มจากเครือข่ายขนาดเล็ก แล้วค่อยๆ ต่อเติมอุปกรณ์เพิ่มขึ้นเรื่อยๆ เมื่อเวลาผ่านไป เครือข่ายจึงกลายเป็น Flat Network หรือวง Layer 2 เดียวกันทั้งหมด ซึ่งสร้างปัญหาตามมามากมาย ดังนี้ครับ

• ปัญหา Broadcast Storm และ IP Collision: เมื่ออุปกรณ์ IoT เกรดทั่วไป หรือกล้องวงจรปิดเกิดรวน แล้วส่งแพ็กเกจขยะออกมา ข้อมูลเหล่านั้นจะวิ่งกระจายไปหาทุกอุปกรณ์ในเครือข่าย รวมถึงเครื่อง PLC และ Robot Controller ทำให้แบนด์วิดท์เต็มและระบบควบคุมหยุดทำงาน
• ช่องโหว่ด้าน Industrial Network Security: หากมีภัยคุกคามหรือมัลแวร์หลุดเข้ามาทางคอมพิวเตอร์สำนักงาน มันจะสามารถแพร่กระจายไปยังวงเครื่องจักร (OT) ได้ทันทีเพราะไม่มีกำแพงขวางกั้น
• อุปกรณ์ IoT Industrial ดึงแบนด์วิดท์: เซนเซอร์และอุปกรณ์ Smart Factory ที่ส่งข้อมูลขึ้น Cloud ตลอดเวลา สามารถทำให้ Traffic ในวงแลนหนาแน่นจนเกิดความล่าช้า (Latency) ในการสั่งงานเครื่องจักร

โครงสร้าง Network Topology ที่เหมาะกับโรงงานอุตสาหกรรม

การวางโครงสร้าง Network Topology สำหรับโรงงาน ต้องคำนึงถึง Redundancy (ระบบสำรอง) และความสามารถในการขยายระบบในอนาคต โดยผมแนะนำให้แบ่งออกเป็น 3 เลเยอร์หลักตามมาตรฐาน ดังนี้ครับ

1. Core Layer (Core Router & Firewall)

ใช้อุปกรณ์ระดับองค์กร เช่น MikroTik Firewall หรือ Enterprise Router ที่มีประสิทธิภาพสูง ทำหน้าที่บริหารจัดการ Routing, ทำ NAT, กำหนด Firewall Rules และจัดการคิว Traffic ระหว่างวงเครือข่ายต่างๆ

2. Distribution & Access Layer (Managed Switch)

อุปกรณ์ Switch ทั้งหมดในโรงงานต้องเป็น Managed Switch ที่รองรับมาตรฐาน 802.1Q VLAN เท่านั้น ห้ามใช้ Unmanaged Switch ในจุดสำคัญเด็ดขาด เพราะ Managed Switch จะช่วยให้เราแบ่งวงเครือข่ายตามโซนพื้นที่และตามประเภทอุปกรณ์ได้

3. Fiber Optic Backbone ระหว่างอาคาร

การเชื่อมต่อระหว่างอาคารสำนักงาน คลังสินค้า และไลน์การผลิต ควรใช้สาย Fiber Optic ผ่านพอร์ต SFP/SFP+ เพื่อป้องกันปัญหาสัญญาณรบกวนจากกระแสไฟฟ้าแรงสูงและเครื่องจักรกลหนักในโรงงาน

การวางโครงสร้าง VLAN Isolation เพื่อความปลอดภัยและเสถียรภาพ

หัวใจสำคัญที่สุดในการแก้ปัญหาเครือข่ายโรงงาน คือการทำ VLAN Isolation หรือการตัดขาดวงเครือข่ายออกจากกันตามหน้าที่การทำงาน เพื่อไม่ให้ปัญหาในจุดหนึ่งส่งผลกระทบต่อระบบทั้งหมด โดยผมมักจะออกแบบโครงสร้าง VLAN ให้ลูกค้าโรงงานดังนี้ครับ

• VLAN 10 (Management Network): ใช้สำหรับบริหารจัดการอุปกรณ์โครงสร้างพื้นฐาน เช่น Router, Managed Switch, Access Point และ UPS
• VLAN 20 (Office & ERP): สำหรับคอมพิวเตอร์ฝ่ายบริหาร บัญชี จัดซื้อ และเซิร์ฟเวอร์ ERP/DATABASE
• VLAN 30 (OT & Line Production): วงสำหรับเครื่องจักร PLC, หุ่นยนต์แขนกล, และระบบ SCADA วงนี้จะถูกบล็อกไม่ให้เข้าถึง Internet โดยเด็ดขาดเพื่อความปลอดภัยขั้นสูงสุด
• VLAN 40 (Industrial IoT): สำหรับอุปกรณ์ อุปกรณ์ IoT Industrial เช่น เซนเซอร์วัดอุณหภูมิ มิเตอร์ไฟฟ้าดิจิทัล และระบบติดตามสินค้า
• VLAN 50 (CCTV Solutions): วงแยกเฉพาะสำหรับกล้องวงจรปิดและเครื่องบันทึก NVR ป้องกันไม่ให้ภาพจากกล้องดึงแบนด์วิดท์ของระบบงานอื่น
• VLAN 60 (Guest WiFi): ระบบ WiFi สำหรับผู้มาติดต่องาน แยกออกจากเครือข่ายภายใน 100% และวิ่งผ่านระบบยืนยันตัวตนก่อนใช้งาน

การตั้งค่า MikroTik Firewall Rules และ QoS กำหนดความสำคัญ

หลังจากแบ่ง VLAN เรียบร้อยแล้ว ขั้นตอนต่อไปคือการเขียนนโยบายความปลอดภัยบน MikroTik Firewall ครับ โดยมีหลักการสำคัญดังนี้

1. Inter-VLAN Routing Control: อนุญาตให้คอมพิวเตอร์วิศวกร (VLAN 20) ดึงข้อมูลจาก PLC (VLAN 30) ได้เฉพาะพอร์ตที่จำเป็น เช่น Modbus TCP หรือ OPC UA แต่ห้ามไม่ให้ VLAN อื่นๆ เข้าถึงวงเครื่องจักรได้

2. IoT Outbound Blocking: ตั้งค่าบล็อกอุปกรณ์ IoT และกล้อง CCTV ไม่ให้ออกไปเชื่อมต่อ IP แปลกปลอมภายนอกประเทศ เพื่อป้องกันการถูกใช้เป็น Botnet

3. Quality of Service (QoS): กำหนดความสำคัญของ Traffic ให้ระบบงานวิกฤต (Critical Real-time Data) มีความสำคัญสูงสุดเหนือการใช้งานอินเทอร์เน็ตทั่วไปของพนักงาน

สรุปบทเรียนการออกแบบ Network โรงงานจากประสบการณ์ SIAM-LOGIN

การลงทุนวางโครงสร้างระบบ Network ในโรงงานอุตสาหกรรมอย่างถูกต้องตั้งแต่แรก อาจมีค่าใช้จ่ายอุปกรณ์ Managed Switch และการคอนฟิกที่สูงกว่าระบบทั่วไปเล็กน้อย แต่เมื่อเทียบกับมูลค่าความเสียหายยามที่ไลน์การผลิตต้องหยุดชะงักเพียงไม่กี่ชั่วโมง ถือว่าคุ้มค่ากว่ามากครับ

หากโรงงานของคุณกำลังเจอปัญหาน้ำท่วมท่อ เครือข่ายช้า อุปกรณ์ IoT หลุดบ่อย หรือต้องการปรับปรุงระบบเครือข่ายให้ได้มาตรฐาน ปลอดภัย และเสถียร ทีมงาน SIAM-LOGIN พร้อมให้คำปรึกษาและออกแบบระบบที่เหมาะสมกับงบประมาณและรูปแบบโรงงานของคุณครับ