เจาะลึก RADIUS Server ควบคุมความปลอดภัย WiFi องค์กรให้รัดกุม

มีอยู่วันหนึ่งช่วงห้าทุ่มครึ่ง เจ้าของบริษัทลูกค้าไซส์ประมาณ 80 คน โทรหาผมด้วยน้ำเสียงลนลาน บอกว่าข้อมูลความลับใน NAS ถูกแอบเข้าถึงและลบออกไปบางส่วน ทั้งที่วันนั้นประตูออฟฟิศล็อกหมดแล้ว พอลองตรวจสอบ Log ของ Access Point ถึงได้รู้ว่า อดีตพนักงานที่ถูกจ้างออกตอนเย็น แอบนั่งเล่น WiFi อยู่ที่ม้านั่งหน้าอาคาร แล้วใช้รหัสผ่าน WiFi ออฟฟิศที่เคยบันทึกไว้ในโน้ตบุ๊ก ล็อกอินเข้ามาดึงข้อมูลในเครือข่ายไปได้อย่างง่ายดาย

เหตุการณ์นี้ไม่ใช่เรื่องใหม่ และมักจะเกิดขึ้นซ้ำแล้วซ้ำเล่ากับบริษัทที่ยังใช้ระบบ WiFi แบบแจกรหัสรหัสเดียวให้ทุกคนใช้ร่วมกัน (Pre-Shared Key หรือ PSK) วันนั้นผมจึงต้องรีบเข้าไปเซ็ตอัป โครงสร้างระบบ RADIUS Server เพื่อยกเลิกระบบรหัสผ่านกลางแบบเดิม และเปลี่ยนมาใช้การยืนยันตัวตนรายบุคคลทันที

ทำไม WiFi ใช้รหัสผ่านร่วม (Pre-Shared Key) ถึงเป็นระเบิดเวลาขององค์กร

หลายองค์กรพยายามประหยัดงบด้วยการตั้งรหัสผ่าน WiFi ตัวเดียวแล้วแจกให้ทุกคนในบริษัท ตั้งแต่ผู้บริหาร พนักงานประจำ ไปจนถึงซับคอนแทรคต์ แต่ปัญหาใหญ่ของการทำแบบนี้คือ

• เปลี่ยนรหัสยาก: เมื่อมีพนักงานลาออก การจะเปลี่ยนรหัส WiFi ทีหนึ่งต้องตามไปแก้ในอุปกรณ์นับร้อยเครื่อง ทำให้สุดท้ายก็ไม่มีใครยอมเปลี่ยน
• ดักจับข้อมูลได้ง่าย: คนที่รู้รหัสผ่าน WiFi สามารถใช้โปรแกรม Wireshark แอบดักแพ็กเก็ตข้อมูลของเพื่อนร่วมงานในวง LAN เดียวกันได้
• ระบุตัวตนไม่ได้: หากเกิดเหตุการณ์ข้อมูลรั่วไหลหรือมีคนโหลดไฟล์ผิดกฎหมาย Log จะบอกได้แค่ IP ของ Access Point แต่ไม่สามารถระบุได้ว่าใครเป็นคนทำ

โครงสร้างระบบ RADIUS Server ทำงานอย่างไร? (เจาะลึกหลักการ AAA)

คำว่า RADIUS ย่อมาจาก Remote Authentication Dial-In User Service ซึ่งถูกพัฒนามาเพื่อแก้ปัญหาความปลอดภัยตรงนี้โดยเฉพาะ โดยหัวใจสำคัญของ โครงสร้างระบบ RADIUS Server จะหมุนรอบแนวคิดที่เรียกว่า AAA Framework ครับ

1. Authentication (การยืนยันตัวตน)

เมื่อพนักงานกดเชื่อมต่อ WiFi องค์กร อุปกรณ์จะไม่ถามหารหัสผ่านกลางของเครือข่าย แต่จะส่ง Username และ Password ส่วนตัวของพนักงานคนนั้น (หรือ Digital Certificate) ไปยัง RADIUS Server เพื่อตรวจสอบว่าข้อมูลถูกต้องและมีตัวตนอยู่ในระบบจริงหรือไม่

2. Authorization (การกำหนดสิทธิ์การใช้งาน)

เมื่อยืนยันตัวตนผ่านแล้ว RADIUS Server จะส่งคำสั่งไปยัง Access Point หรือ MikroTik Router เพื่อกำหนดสิทธิ์ เช่น พนักงานฝ่ายบัญชีให้วิ่งไปที่ VLAN 20 เข้าถึงเซิร์ฟเวอร์การเงินได้ ส่วนพนักงานฝึกงานให้วิ่งไป VLAN 30 ออกอินเทอร์เน็ตได้อย่างเดียว แต่ห้ามแตะต้อง NAS ของบริษัท

3. Accounting (การเก็บบันทึกข้อมูลใช้งาน)

ระบบจะบันทึกข้อมูลอย่างละเอียดว่า ใครล็อกอินเข้ามาเมื่อไหร่ ใช้ IP อะไร อัปโหลดดาวน์โหลดไปเท่าไหร่ และออกจากระบบเวลาไหน ซึ่งข้อมูล Log เหล่านี้มีความสำคัญมากในการปฏิบัติตาม พ.ร.บ.คอมพิวเตอร์ และการสืบสวนด้าน Network Security

4 องค์ประกอบหลักที่ต้องมีในการวางระบบ RADIUS Server

จากประสบการณ์ที่ผมวางระบบให้ลูกค้า Siam-Login การเซ็ตอัป Enterprise WiFi ที่สมบูรณ์แบบจะต้องเชื่อมโยง 4 ส่วนนี้เข้าด้วยกันครับ

• Supplicant (อุปกรณ์ผู้ใช้): สมาร์ตโฟน โน้ตบุ๊ก หรือแท็บเล็ต ที่รองรับมาตรฐาน WPA2/WPA3 Enterprise
• Authenticator (อุปกรณ์ควบคุม): Access Point หรือ Wireless Controller ที่ทำหน้าที่รับคำร้องขอเชื่อมต่อแล้วส่งต่อให้ RADIUS Server
• RADIUS Server (Authentication Server): ซอฟต์แวร์ประมวลผล เช่น FreeRADIUS, Microsoft NPS (Network Policy Server) หรือ RADIUS Built-in ใน MikroTik
• Database (ฐานข้อมูลผู้ใช้): แหล่งเก็บข้อมูลบัญชีผู้ใช้ เช่น Active Directory, LDAP, OpenLDAP หรือ Database ของระบบ Captive Portal

ยกระดับความปลอดภัย WiFi องค์กรให้ไร้รอยต่อด้วย RADIUS

พอเรานำ โครงสร้างระบบ RADIUS Server มาปรับใช้ ความปลอดภัยและกระบวนการทำงานในฝ่าย IT จะเปลี่ยนไปอย่างสิ้นเชิงครับ

เวลาที่มีพนักงานลาออก ฝ่าย HR แค่ไป Disable บัญชีใน Active Directory แค่ที่เดียว พนักงานคนนั้นก็จะหมดสิทธิ์เชื่อมต่อ WiFi ของบริษัททันที โดยที่ IT ไม่ต้องไปไล่เปลี่ยนรหัสผ่านบน Access Point ทุกตัวให้เสียเวลา และพนักงานคนอื่นๆ ก็ใช้งานได้ต่อเนื่องโดยไม่สะดุด

นอกจากนี้ การทำ Dynamic VLAN Assignment ร่วมกับ RADIUS ยังช่วยให้เราจัดระเบียบ Traffic ในเครือข่ายได้อย่างรวดเร็ว ไม่ว่าพนักงานจะยกโน้ตบุ๊กไปเสียบสาย LAN หรือต่อ WiFi ที่แผนกไหน ระบบก็จะโยกพนักงานคนนั้นเข้าสู่ VLAN ประจำแผนกของตัวเองให้อัตโนมัติ

สรุป: ทำไมองค์กรยุคนี้ถึงไม่ควรมองข้าม RADIUS Server

ถ้าบริษัทของคุณเริ่มมีพนักงานมากกว่า 15-20 คนขึ้นไป การใช้รหัสผ่าน WiFi ร่วมกันคือความเสี่ยงที่วิศวกรอย่างผมไม่แนะนำอย่างยิ่งครับ การลงทุนวาง โครงสร้างระบบ RADIUS Server อาจดูมีขั้นตอนในช่วงแรก แต่ผลลัพธ์ที่ได้ทั้งเรื่องความปลอดภัย การควบคุมสิทธิ์ และความสะดวกในการบริหารจัดการ ถือว่าคุ้มค่าในระยะยาวอย่างแน่นอน หากคุณกำลังต้องการปรับปรุงระบบ WiFi องค์กรให้ได้มาตรฐาน Enterprise ทีมงาน SIAM-LOGIN พร้อมให้คำปรึกษาและออกแบบระบบที่เหมาะสมกับงบประมาณของคุณครับ