5 วิธีป้องกัน Netcut ใน WiFi หอพักและโรงแรม แก้ ARP Spoofing

80% ของปัญหาอินเทอร์เน็ตหอพักและโรงแรมที่ลูกค้าแจ้งว่าเน็ตหลุด ทั้งที่ไฟ Router ขึ้นปกติ ไม่ได้เกิดจาก ISP ล่มแอย่างใดครับ แต่เกิดจากคนในอาคารแอบใช้โปรแกรมยิงตัดสัญญาณอินเทอร์เน็ต หรือที่เรารู้จักกันในชื่อ Netcut ซึ่งอาศัยช่องโหว่ของการส่งแพ็กเกจ ARP Spoofing ในวง LAN เดียวกันเพื่อดักหรือตัดสัญญาณผู้อื่น

ตลอด 10 กว่าปีที่ผมทำระบบ WiFi Hotspot ให้กับหอพักและโรงแรมทั่วประเทศ ผมเห็นผู้ประกอบการโดนผู้เข้าพักยกเลิกสัญญาเช่าเพราะปัญหานี้มาเยอะมากครับ บางคนคิดว่าแบนด์วิดท์ไม่พอ จึงไปอัปเกรดความเร็วเน็ตราคาแพง แต่สุดท้ายเน็ตก็ยังหลุดเหมือนเดิม วันนี้ผมเลยอยากมาแชร์ 5 วิธีป้องกัน Netcut แบบถาวรที่พวกผมใช้ในงานติดตั้งจริงครับ

Netcut ทำงานอย่างไร ทำไมถึงตัดสัญญาณคนอื่นได้?

ก่อนที่เราจะไปดูวิธีแก้ ผมอยากเล่าสั้นๆ ให้ฟังก่อนครับว่า Netcut ทำงานยังไง โปรแกรมพวกนี้จะส่งข้อมูล ARP Reply ปลอมไปยังอุปกรณ์เป้าหมายและ Gateway โดยหลอกว่าตัวเองคือ Router ทำให้เครื่องเหยื่อหลงเชื่อ แล้วส่งข้อมูลทั้งหมดมาที่เครื่องของผู้โจมตี ผลคือเครื่องเหยื่อจะไม่สามารถสื่อสารกับ Router ได้ และโดนตัดออกจากอินเทอร์เน็ตทันที

5 วิธีป้องกัน Netcut และ ARP Spoofing ในระบบ WiFi หอพัก

1. เปิดใช้งาน Wireless Client Isolation บน Access Point

นี่คือปราการด่านแรกที่สำคัญที่สุดสำหรับการทำระบบ WiFi หอพักครับ ฟีเจอร์ Wireless Client Isolation หรือ AP Isolation จะทำหน้าที่บล็อกไม่ให้อุปกรณ์ที่เชื่อมต่อ WiFi ใน SSID เดียวกันสามารถมองเห็นหรือสื่อสารกันเองได้ เมื่อเครื่องของผู้ใช้งานไม่สามารถรับส่งข้อมูลหาเครื่องอื่นในวงได้ การยิงแพ็กเกจ Netcut ก็จะไม่ส่งผลกระทบกับใครเลยครับ

2. เปิดใช้ Dynamic ARP Inspection (DAI) บน Managed Switch

ในระดับ Layer 2 Switch การเปิดฟีเจอร์ Dynamic ARP Inspection จะช่วยตรวจสอบความถูกต้องของแพ็กเกจ ARP ที่วิ่งผ่านพอร์ตต่างๆ โดย Switch จะทำการเช็กข้อมูล IP และ MAC Address กับตาราง DHCP Snooping Binding หากพบแพ็กเกจ ARP ปลอมส่งมาจากพอร์ตใด Switch จะทำการดรอปแพ็กเกจนั้นทิ้งและปิดพอร์ตนั้นทันที

3. ตั้งค่า DHCP Snooping เพื่อป้องกัน Rogue DHCP และ Spoofing

DHCP Snooping เป็นฟีเจอร์ที่ทำงานร่วมกับ DAI โดยทำหน้าที่กำหนดว่าพอร์ตไหนเป็น Trusted Port (พอร์ตที่ต่อกับ Router หลัก) และพอร์ตไหนเป็น Untrusted Port (พอร์ตที่ต่อกับผู้ใช้งาน) ระบบจะยอมรับคำขอแจก IP Address จากพอร์ต Trusted เท่านั้น ป้องกันไม่ให้มีใครแอบเสียบ Router เองแล้วปล่อย DHCP ปลอมมาชนกับระบบหลักครับ

4. ทำ Static ARP Binding บน MikroTik RouterOS

สำหรับระบบที่ใช้ MikroTik RouterOS เป็น Gateway หลัก เราสามารถป้องกัน ARP Attack ได้ด้วยการเปลี่ยนโหมด ARP บน Interface ให้เป็น reply-only แล้วทำการจับคู่ IP Address กับ MAC Address ของผู้ใช้งานลงในตาราง Static ARP (IP-MAC Binding) วิธีนี้จะทำให้ Router ปฏิเสธแพ็กเกจ ARP ปลอมอย่างสิ้นเชิง เพราะ Router จะคุยกับ MAC Address ที่ถูกบันทึกไว้ในระบบอย่างถูกต้องเท่านั้น

5. ออกแบบ Network Segmentation ด้วย VLAN Isolation

การแบ่ง VLAN เป็นการแยกวง Network ออกจากกันอย่างเด็ดขาดครับ เช่น แยก VLAN หอพักตามชั้น หรือแยก VLAN สำหรับพนักงานและผู้เข้าพักออกจากกัน แม้จะมีผู้ใช้งานคนใดโดนโจมตี ปัญหาก็จะถูกจำกัดอยู่แค่ใน VLAN เดียว ไม่ลุกลามกระทบผู้ใช้งานในชั้นอื่นหรือส่วนงานสำคัญของโรงแรม

สรุปแนวทางแก้ไขเพื่อระบบ WiFi ที่เสถียร

การแก้ไขปัญหา Netcut และการป้องกัน Netcut ไม่สามารถพึ่งพาอุปกรณ์เพียงชิ้นเดียวได้ครับ แต่ต้องอาศัยการตั้งค่าร่วมกันตั้งแต่ Access Point, Managed Switch ไปจนถึง MikroTik RouterOS หากคุณทำตามทั้ง 5 ข้อนี้ รับรองว่าปัญหาเน็ตหอพักหลุดจาก ARP Spoofing จะหมดไปอย่างแน่นอนครับ